29 de octubre de 2026, la empresa taiwanesa Synology confirmó que los atacantes están explotando una vulnerabilidad corregida ya en diciembre de 2024 para atacar dispositivos NAS con versiones obsoletas de DiskStation Manager (DSM). El objetivo de los ataques es cifrar los datos y extorsionar. Todos los propietarios de Synology NAS que no hayan actualizado DSM en los últimos dos años deben instalar inmediatamente los parches actuales: la vulnerabilidad se está explotando activamente en ataques reales.
Tres vulnerabilidades en el aviso, pero ¿cuál se está explotando exactamente?
Synology remite al aviso de seguridad Synology-SA-24:20, en el que se enumeran tres vulnerabilidades de DSM. Sin embargo, la empresa no ha indicado cuál de ellas se está utilizando en los ataques actuales. Es un detalle importante: las tres CVE tienen distinto nivel de criticidad y afectan a distintas ramas de DSM.
- CVE-2024-10441 (CVSS 9.8): vulnerabilidad de codificación/escape incorrectos de la salida en el demonio de plugins del sistema de DSM. Permite la ejecución remota de código (RCE) sin autenticación. Afecta a DSM 7.2, 7.2.1 y 7.2.2.
- CVE-2024-50629 (CVSS 5.3): vulnerabilidad similar en el componente webapi, que permite a un atacante remoto leer un conjunto limitado de archivos. Afecta a DSM 7.1, 7.2, 7.2.1 y 7.2.2.
- CVE-2024-10445 (CVSS 4.3): vulnerabilidad de validación incorrecta de certificados en el mecanismo de actualización de DSM, que permite escribir un conjunto limitado de archivos. Afecta a todas las ramas desde DSM 6.2 hasta 7.2.2. Es significativo que el vector CVSS de esta vulnerabilidad indica acceso desde una red adyacente (Adjacent Network), y no desde Internet.
Teniendo en cuenta que los ataques están dirigidos al cifrado de datos, el candidato más probable parece ser CVE-2024-10441, con puntuación 9.8 y capacidad de ejecución remota de código. No obstante, esto es una suposición: Synology no ha confirmado el vector concreto, y no se puede descartar una cadena de varias vulnerabilidades.
Los límites de las versiones vulnerables difieren
Un matiz importante que es fácil pasar por alto: las tres CVE tienen distintos límites de versiones de DSM afectadas. CVE-2024-10441 se aplica únicamente a las ramas DSM 7.2.x, mientras que CVE-2024-10445 abarca todas las ramas compatibles hasta DSM 6.2. Esto significa que los administradores no pueden guiarse por una sola tabla de parches para las tres vulnerabilidades: es necesario comprobar la versión concreta de DSM y aplicar la actualización correspondiente:
- DSM 7.2.2 → actualizar a 7.2.2-72806-1 o superior
- DSM 7.2.1 → actualizar a 7.2.1-69057-6 o superior
- DSM 7.2 → actualizar a 7.2-64570-4 o superior
- DSM 7.1 → actualizar a 7.1.1-42962-7 o superior
- DSM 6.2 → actualizar a 6.2.4-25556-8 o superior
Contexto histórico: los NAS como objetivo para el ransomware
Los dispositivos NAS llevan tiempo siendo un objetivo atractivo para los operadores de ransomware: almacenan datos críticos, suelen ser accesibles desde Internet y, a menudo, se actualizan con retraso. En 2021, Synology advirtió de una oleada de ataques por fuerza bruta de contraseñas, relacionados con la familia de malware StealthWorker. En aquel momento, la compañía recalcó que no se había detectado explotación de vulnerabilidades de software: los ataques se basaban exclusivamente en el uso de credenciales débiles.
Paralelamente, los investigadores de Unit 42 (Palo Alto Networks) registraban actividad del ransomware eCh0raix, dirigido a dispositivos QNAP y Synology. En el caso de QNAP, se explotaba la vulnerabilidad CVE-2021-28799 (NVD) en el componente HBS 3, que posteriormente fue incluida en el catálogo CISA Known Exploited Vulnerabilities.
La campaña actual de 2026 difiere de forma fundamental de ambos episodios históricos: según Synology, los atacantes explotan precisamente una vulnerabilidad de software, y no contraseñas débiles. Con los datos disponibles, no se ha establecido relación con eCh0raix ni con StealthWorker.
Qué sigue sin conocerse
Las fuentes primarias disponibles no revelan una serie de detalles esenciales de la campaña actual. No se han establecido: el alcance de los ataques (número de dispositivos y organizaciones afectadas), la atribución a un grupo concreto, los indicadores de compromiso (IOC) específicos, ni el importe del rescate exigido. Mensajes de usuarios en foros mencionan un ransomware que añade la extensión «.L0CK3D», pero estos datos proceden de fuentes no verificadas y no han sido confirmados por investigadores independientes.
Recomendaciones de protección
Para protegerse de la ola actual de ataques y reducir la superficie de ataque general de los dispositivos Synology NAS:
- Actualice inmediatamente DSM a las versiones indicadas en el aviso de seguridad Synology-SA-24:20. Tienen prioridad los dispositivos accesibles desde Internet.
- Active la actualización automática de DSM: Synology recomienda explícitamente esta medida para evitar que se repitan situaciones similares en el futuro.
- Compruebe la accesibilidad en red del NAS: si el dispositivo no tiene por qué ser accesible desde Internet, cierre el acceso externo o restríngalo mediante una VPN.
- Refuerce la autenticación: active la autenticación multifactor y la función de bloqueo automático tras intentos fallidos de inicio de sesión. Esto le protegerá frente a ataques por fuerza bruta, que siguen siendo una amenaza relevante en paralelo a la explotación de vulnerabilidades.
- Revise las copias de seguridad: asegúrese de que los datos críticos disponen de una copia fuera de línea o de una copia que no sea accesible desde el propio dispositivo NAS. Un ransomware que obtenga acceso al NAS puede cifrar también los almacenes de copia de seguridad conectados.
Los parches para todas las ramas de DSM afectadas están disponibles desde diciembre de 2024, es decir, desde hace casi dos años. Los dispositivos que permanecen sin actualizar durante tanto tiempo son vulnerables no solo a la campaña actual, sino también a cualquier otra vulnerabilidad corregida en ese periodo. Los administradores de Synology NAS deben considerar la actualización de DSM no como una reacción puntual a una amenaza concreta, sino como un elemento obligatorio del mantenimiento regular, y aplicar los parches actuales hoy mismo.
