重要ポイント
- 古い DSM の Synology NAS が、C3RB3R ランサムウェアの攻撃を受けている(Synology が2026年11月2日までに注意喚起)
- 2024年11月に修正済みの脆弱性(Synology-SA-24:20)が悪用されているとされるが、どの CVE かは Synology が未公表
- 対象は DSM 7.2.2 / 7.2.1 / 7.2 / 7.1 / 6.2 の古い版。修正版へ更新し、管理画面をインターネットに公開しない
- 感染すると拡張子 .L0CK3D のファイルと read-me3.txt が残る
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| Synology DSM 7.2.2 | 7.2.2-72806-1 より前 | 7.2.2-72806-1 |
| Synology DSM 7.2.1 | 7.2.1-69057-6 より前 | 7.2.1-69057-6 |
| Synology DSM 7.2 | 7.2-64570-4 より前 | 7.2-64570-4 |
| Synology DSM 7.1 | 7.1.1-42962-7 より前 | 7.1.1-42962-7 |
| Synology DSM 6.2 | 6.2.4-25556-8 より前 | 6.2.4-25556-8 |
対処: DSM の「コントロールパネル → 更新と復元」で上の版以降に更新し、自動更新を有効にします。管理画面(DSM のポート)はインターネットから直接開けない設定にしてください。
確認: DSM の「コントロールパネル → 情報センター」で DSM のバージョンを確認します。BeeStation OS(BSM)も同じアドバイザリの対象で、1.1-65374 以降が修正版です。
概要
Synology は2026年11月2日までに、古い DSM(DiskStation Manager)を使う NAS を狙った C3RB3R ランサムウェアの攻撃が続いていると顧客に警告しました。悪用されているのは2024年に修正済みの脆弱性とされますが、Synology はどの脆弱性かをまだ明らかにしていません。修正版に更新していない NAS は、早めに更新してください。
影響と対処
影響を受けるもの
社内のファイル共有やバックアップ先として NAS を使っている環境が対象です。2024年11月5日に公開された Synology-SA-24:20(Pwn2Own 2024 で報告された問題)では、DSM の3件の CVE が修正されました。
- CVE-2024-10441(CVSS 9.8、緊急): 認証なしでコードを実行される可能性
- CVE-2024-50629(CVSS 5.3): 一部のファイルの読み取り
- CVE-2024-10445(CVSS 4.3): 一部のファイルの書き込み
今回の攻撃がこのうちのどれかは、報道の時点で Synology から示されていません。
どんな問題か
攻撃を受けるとデータが暗号化され、拡張子 .L0CK3D のファイルと身代金要求のメモ read-me3.txt が残ります。メモは、ダークウェブの窓口で「C3rb3r Decryptor」を購入するよう求めます。C3RB3R は2021年から知られるランサムウェアで、過去には Confluence や GitLab のサーバーも狙っています。Shadowserver は、インターネットに公開された Synology NAS を38万台以上観測しています。
対処方法
- DSM を上の表の修正版以降に更新する(自動更新を有効にする)
- 管理画面・SSH をインターネットに直接公開しない(VPN や接続元の制限を使う)
- バックアップは NAS とは別の場所にも保管する(世代管理・オフライン)
- 暗号化の兆候(.L0CK3D の拡張子、read-me3.txt)があれば、ネットワークから切り離して調査する
確認方法
DSM の「情報センター」でバージョンを確認し、表の版より古ければ更新します。
対応チェックリスト
- NAS の DSM のバージョンを確認する
- 修正版以降に更新し、自動更新を有効にする
- 管理画面をインターネットに公開していないか確認する
- バックアップが NAS 以外にもあるか確認する
出典
- Synology warns of C3RB3R ransomware attacks targeting NAS devices(BleepingComputer、2026年11月2日)
- Synology-SA-24:20 DSM (PWN2OWN 2024)(Synology、2024年11月5日)
