29 жовтня 2026 року тайванська компанія Synology підтвердила, що зловмисники експлуатують вразливість, виправлену ще у грудні 2024 року, для атак на пристрої NAS із застарілими версіями DiskStation Manager (DSM). Мета атак — шифрування даних і вимагання. Усі власники Synology NAS, які не оновлювали DSM протягом останніх двох років, мають негайно встановити актуальні патчі: вразливість активно експлуатується в реальних атаках.
Три вразливості в бюлетені — але яку саме експлуатують?
Synology посилається на бюлетень безпеки Synology-SA-24:20, у якому перелічено три вразливості DSM. Водночас компанія не зазначила, яку саме з них використовують у поточних атаках. Це суттєва деталь: три CVE мають різний рівень критичності й зачіпають різні гілки DSM.
- CVE-2024-10441 (CVSS 9.8) — вразливість некоректного кодування/екранування виводу в демоні системних плагінів DSM. Дозволяє віддалене виконання коду (RCE) без автентифікації. Зачіпає DSM 7.2, 7.2.1 і 7.2.2.
- CVE-2024-50629 (CVSS 5.3) — подібна вразливість у компоненті webapi, яка дає віддаленому зловмиснику змогу читати обмежений набір файлів. Зачіпає DSM 7.1, 7.2, 7.2.1 і 7.2.2.
- CVE-2024-10445 (CVSS 4.3) — вразливість некоректної валідації сертифікатів у механізмі оновлення DSM, яка дає змогу записувати обмежений набір файлів. Зачіпає всі гілки від DSM 6.2 до 7.2.2. Показово, що вектор CVSS для цієї вразливості вказує на доступ із сусідньої мережі (Adjacent Network), а не з інтернету.
З огляду на те, що атаки спрямовані на шифрування даних, найімовірнішим кандидатом виглядає CVE-2024-10441 з оцінкою 9.8 і можливістю віддаленого виконання коду. Водночас це лише припущення: Synology не підтвердила конкретний вектор, і не можна виключати ланцюжок із кількох вразливостей.
Межі вразливих версій відрізняються
Важливий нюанс, який легко прогледіти: три CVE мають різні межі зачеплених версій DSM. CVE-2024-10441 поширюється лише на гілки DSM 7.2.x, тоді як CVE-2024-10445 охоплює всі підтримувані гілки аж до DSM 6.2. Це означає, що адміністратори не можуть орієнтуватися на одну таблицю патчів для всіх трьох вразливостей — необхідно перевірити конкретну версію DSM і застосувати відповідне оновлення:
- DSM 7.2.2 → оновити до 7.2.2-72806-1 або вище
- DSM 7.2.1 → оновити до 7.2.1-69057-6 або вище
- DSM 7.2 → оновити до 7.2-64570-4 або вище
- DSM 7.1 → оновити до 7.1.1-42962-7 або вище
- DSM 6.2 → оновити до 6.2.4-25556-8 або вище
Історичний контекст: NAS як мішень для шифрувальників
Пристрої NAS вже давно приваблюють операторів шифрувальників: вони зберігають критичні дані, часто доступні з інтернету й нерідко оновлюються із запізненням. У 2021 році Synology попереджала про хвилю атак методом перебору паролів, пов’язаних зі зловмисним сімейством StealthWorker. Тоді компанія наголошувала, що експлуатації програмних вразливостей виявлено не було — атаки будувалися виключно на підборі слабких облікових даних.
Паралельно дослідники Unit 42 (Palo Alto Networks) фіксували активність шифрувальника eCh0raix, спрямованого проти пристроїв QNAP і Synology. У випадку QNAP використовувалася вразливість CVE-2021-28799 (NVD) в компоненті HBS 3, яку згодом внесли до каталогу CISA Known Exploited Vulnerabilities.
Поточна кампанія 2026 року принципово відрізняється від обох цих історичних епізодів: за даними Synology, зловмисники експлуатують саме програмну вразливість, а не слабкі паролі. Зв’язок з eCh0raix чи StealthWorker на підставі доступних даних не встановлено.
Що залишається невідомим
Наявні первинні джерела не розкривають низку суттєвих деталей поточної кампанії. Не встановлено: масштаб атак (кількість уражених пристроїв і організацій), атрибуцію угруповання, конкретні індикатори компрометації (IOC), а також розмір запитуваного викупу. Повідомлення користувачів на форумах згадують шифрувальник із розширенням «.L0CK3D», однак ці дані походять із неперевірених джерел і не підтверджені незалежними дослідниками.
Рекомендації щодо захисту
Щоб захиститися від поточної хвилі атак і зменшити загальну поверхню атаки на пристрої Synology NAS:
- Негайно оновіть DSM до версій, зазначених у бюлетені безпеки Synology-SA-24:20. У пріоритеті — пристрої, доступні з інтернету.
- Увімкніть автоматичне оновлення DSM — Synology прямо рекомендує цей крок, щоб запобігти подібним ситуаціям у майбутньому.
- Перевірте мережеву доступність NAS: якщо пристрій не має бути доступним з інтернету — закрийте зовнішній доступ або обмежте його через VPN.
- Посильте автентифікацію: увімкніть багатофакторну автентифікацію та функцію автоматичного блокування після невдалих спроб входу. Це захистить від атак перебором, які залишаються актуальною загрозою паралельно з експлуатацією вразливостей.
- Перевірте резервні копії: переконайтеся, що критичні дані мають офлайн-копію або копію, недоступну з самого NAS-пристрою. Шифрувальник, який отримав доступ до NAS, може зашифрувати й підключені резервні сховища.
Патчі для всіх зачеплених гілок DSM доступні з грудня 2024 року — майже два роки. Пристрої, що залишаються без оновлення так довго, вразливі не лише до поточної кампанії, а й до будь-яких інших вразливостей, виправлених за цей період. Адміністраторам Synology NAS варто розглядати оновлення DSM не як разову реакцію на конкретну загрозу, а як обов’язковий елемент регулярного обслуговування — і встановити актуальні патчі вже сьогодні.
