Synology avertit que des pirates chiffrent les données des NAS qui tournent sous un DSM obsolète : la première mesure est de mettre DSM à jour tout de suite et d’activer les mises à jour automatiques. L’entreprise a publié son avertissement le 29 octobre 2026.

La campagne est associée au rançongiciel C3RB3R, que PBX Science décrit comme une variante de la famille Cerber. Un projet open source sur GitHub documente par ailleurs une récupération réussie sur un GitLab infecté fonctionnant sous DSM.

Que dit Synology ?

Synology affirme avoir repéré des acteurs malveillants qui exploitent une faille corrigée en décembre 2024. Les attaques visent les appareils sous des versions de DSM obsolètes, chiffrent les données et réclament une rançon. Le conseil : mettre DSM à jour immédiatement, activer les mises à jour automatiques et lire l’avis Synology-SA-24:20.

PBX Science signale aussi deux failles plus récentes, CVE-2026-13639 et CVE-2026-13684, toutes deux notées CVSS 9.8, divulguées le 18 septembre 2026 dans l’avis Synology-SA-26:13. Le point d’entrée des attaques actuelles n’est pas confirmé : une victime aurait utilisé DSM 7.4.1, ce qui ne permet pas d’exclure une faille plus récente ou un autre service exposé.

Quelles versions de DSM corrigent les failles récentes ?

Les versions corrigées de l’avis Synology-SA-26:13 sont :

  • DSM 7.4 : 7.4-90075
  • DSM 7.3 : 7.3.2-86009-4
  • DSM 7.2.2 : 7.2.2-72806-9
  • DSM 7.2.1 : 7.2.1-69057-12

L’avis de Synology ne donne pas de numéro de version pour le correctif de décembre 2024. Ouvrez le Panneau de configuration, puis Mise à jour et restauration, et installez la dernière mise à jour proposée pour votre modèle.

Comment savoir si mon NAS est touché ?

Les fichiers chiffrés reçoivent l’extension .L0CK3D, avec un zéro à la place de la lettre O. Une note de rançon nommée read-me3.txt apparaît dans les dossiers touchés. Des connexions inhabituelles ou des modifications massives dans le Centre de journaux sont aussi un signe.

Que faire si mon NAS est chiffré ?

Le projet c3rb3r-rescue et PBX Science s’accordent sur l’ordre des gestes :

  • Débranchez le NAS du réseau pour empêcher le chiffrement de se propager.
  • Ne tuez pas de processus, ne redémarrez pas, ne mettez pas DSM à jour et ne démarrez pas un disque de secours : cela peut détruire le matériel de déchiffrement encore présent en mémoire.
  • Conservez la note de rançon, les journaux et quelques fichiers chiffrés, et travaillez uniquement sur des copies.
  • Contactez l’assistance Synology ou un spécialiste de la réponse aux incidents, et ne payez pas la rançon.

Aucun outil public gratuit de déchiffrement pour C3RB3R n’est confirmé. Le chemin fiable reste une sauvegarde saine conservée hors du NAS.

L’outil GitHub peut-il déchiffrer mes fichiers ?

Probablement pas. Le projet c3rb3r-rescue documente un seul incident : une copie mémoire de 16 GiB a livré 48 octets de clé exploitable. L’auteur a ainsi restauré une sauvegarde hebdomadaire d’environ 49 GiB dans un GitLab isolé de même version, soit 80 projets, 23 utilisateurs, 16 groupes et 9,253 objets LFS.

Le projet précise qu’il ne s’agit pas d’un déchiffreur universel pour la famille C3RB3R. Il couvre un échantillon analysé, et la clé récupérée est une clé de session tirée de la RAM, pas la clé privée des attaquants.

Combien cela coûte-t-il, et qui doit agir en premier ?

Aucune source n’indique de prix pour la mise à jour, ni de détail propre au Canada ou aux États-Unis : consultez les pages d’assistance de Synology pour votre modèle.

Tout appareil sous un DSM ancien. C’est le groupe visé par l’avertissement : mettez à jour en premier.

Les NAS accessibles depuis Internet. Supprimez la redirection de ports et passez par un VPN ou le service de relais de Synology.

Les équipes qui font tourner GitLab ou des conteneurs sur le NAS. Le cas GitHub impliquait GitLab : vérifiez ce que l’appareil expose.

Ceux qui n’ont qu’une seule copie de leurs données. Un NAS en RAID n’est pas une sauvegarde : ajoutez une copie hors ligne et testez une restauration.

Ouvrez dès aujourd’hui l’avis de Synology et Synology-SA-24:20, mettez DSM à jour et vérifiez dans le Centre de journaux les connexions que vous ne reconnaissez pas.