29 октября 2026 года тайваньская компания Synology подтвердила, что злоумышленники эксплуатируют уязвимость, исправленную ещё в декабре 2024 года, для атак на устройства NAS с устаревшими версиями DiskStation Manager (DSM). Цель атак — шифрование данных и вымогательство. Всем владельцам Synology NAS, не обновившим DSM за последние два года, необходимо немедленно установить актуальные патчи: уязвимость активно эксплуатируется в реальных атаках.
Три уязвимости в бюллетене — но какая именно эксплуатируется?
Synology ссылается на бюллетень безопасности Synology-SA-24:20, в котором перечислены три уязвимости DSM. Однако компания не указала, какая именно из них используется в текущих атаках. Это существенная деталь: три CVE имеют разную степень критичности и затрагивают разные ветки DSM.
- CVE-2024-10441 (CVSS 9.8) — уязвимость некорректного кодирования/экранирования вывода в демоне системных плагинов DSM. Позволяет удалённое выполнение кода (RCE) без аутентификации. Затрагивает DSM 7.2, 7.2.1 и 7.2.2.
- CVE-2024-50629 (CVSS 5.3) — аналогичная уязвимость в компоненте webapi, позволяющая удалённому атакующему читать ограниченный набор файлов. Затрагивает DSM 7.1, 7.2, 7.2.1 и 7.2.2.
- CVE-2024-10445 (CVSS 4.3) — уязвимость некорректной валидации сертификатов в механизме обновления DSM, позволяющая записывать ограниченный набор файлов. Затрагивает все ветки от DSM 6.2 до 7.2.2. Примечательно, что вектор CVSS для этой уязвимости указывает на доступ из смежной сети (Adjacent Network), а не из интернета.
Учитывая, что атаки направлены на шифрование данных, наиболее вероятным кандидатом выглядит CVE-2024-10441 с оценкой 9.8 и возможностью удалённого выполнения кода. Однако это предположение: Synology не подтвердила конкретный вектор, и нельзя исключать цепочку из нескольких уязвимостей.
Границы уязвимых версий различаются
Важный нюанс, который легко упустить: три CVE имеют разные границы затронутых версий DSM. CVE-2024-10441 распространяется только на ветки DSM 7.2.x, тогда как CVE-2024-10445 охватывает все поддерживаемые ветки вплоть до DSM 6.2. Это означает, что администраторы не могут ориентироваться на одну таблицу патчей для всех трёх уязвимостей — необходимо проверить конкретную версию DSM и применить соответствующее обновление:
- DSM 7.2.2 → обновить до 7.2.2-72806-1 или выше
- DSM 7.2.1 → обновить до 7.2.1-69057-6 или выше
- DSM 7.2 → обновить до 7.2-64570-4 или выше
- DSM 7.1 → обновить до 7.1.1-42962-7 или выше
- DSM 6.2 → обновить до 6.2.4-25556-8 или выше
Исторический контекст: NAS как мишень для шифровальщиков
Устройства NAS давно привлекают операторов шифровальщиков: они хранят критичные данные, часто доступны из интернета и нередко обновляются с задержкой. В 2021 году Synology предупреждала о волне атак методом перебора паролей, связанных с вредоносным семейством StealthWorker. Тогда компания подчёркивала, что эксплуатации программных уязвимостей обнаружено не было — атаки строились исключительно на подборе слабых учётных данных.
Параллельно исследователи Unit 42 (Palo Alto Networks) фиксировали активность шифровальщика eCh0raix, нацеленного на устройства QNAP и Synology. В случае QNAP использовалась уязвимость CVE-2021-28799 (NVD) в компоненте HBS 3, которая впоследствии была внесена в каталог CISA Known Exploited Vulnerabilities.
Текущая кампания 2026 года принципиально отличается от обоих исторических эпизодов: по данным Synology, атакующие эксплуатируют именно программную уязвимость, а не слабые пароли. Связь с eCh0raix или StealthWorker на основании доступных данных не установлена.
Что остаётся неизвестным
Доступные первичные источники не раскрывают ряд существенных деталей текущей кампании. Не установлены: масштаб атак (количество затронутых устройств и организаций), атрибуция группировки, конкретные индикаторы компрометации (IOC), а также размер требуемого выкупа. Сообщения пользователей на форумах упоминают шифровальщик с расширением «.L0CK3D», однако эти данные исходят из неверифицированных источников и не подтверждены независимыми исследователями.
Рекомендации по защите
Для защиты от текущей волны атак и снижения общей поверхности атаки на устройства Synology NAS:
- Немедленно обновите DSM до версий, указанных в бюллетене Synology-SA-24:20. Приоритет — устройства, доступные из интернета.
- Включите автоматическое обновление DSM — Synology прямо рекомендует эту меру для предотвращения подобных ситуаций в будущем.
- Проверьте сетевую доступность NAS: если устройство не должно быть доступно из интернета — закройте внешний доступ или ограничьте его через VPN.
- Усильте аутентификацию: включите многофакторную аутентификацию и функцию автоматической блокировки после неудачных попыток входа. Это защитит от атак перебором, которые остаются актуальной угрозой параллельно с эксплуатацией уязвимостей.
- Проверьте резервные копии: убедитесь, что критичные данные имеют офлайн-копию или копию, недоступную с самого NAS-устройства. Шифровальщик, получивший доступ к NAS, может зашифровать и подключённые резервные хранилища.
Патчи для всех затронутых веток DSM доступны с декабря 2024 года — почти два года. Устройства, остающиеся без обновления столь длительное время, подвержены не только текущей кампании, но и любым другим уязвимостям, исправленным за этот период. Администраторам Synology NAS следует рассматривать обновление DSM не как разовую реакцию на конкретную угрозу, а как обязательный элемент регулярного обслуживания — и применить актуальные патчи сегодня.
