Synology 警告，攻击者正在加密运行旧版 DSM 的 NAS 数据，首要措施是立即更新 DSM 并开启自动更新。该公司于 2026 年 10 月 29 日发出警告。

这波攻击与名为 C3RB3R 的勒索软件有关，PBX Science 形容它是 Cerber 家族的变种。另外，GitHub 上有一个开源项目，记录了一宗在 DSM 上受感染 GitLab 的还原个案。

Synology 警告了什么？

Synology 表示，已发现攻击者利用一个在 2024 年 12 月修补的漏洞。攻击目标是运行旧版 DSM 的装置，攻击者加密数据并勒索赎金。官方建议是立即更新 DSM、开启自动更新，并阅读安全公告 Synology-SA-24:20。

PBX Science 还提到两个较新的漏洞，CVE-2026-13639 和 CVE-2026-13684，CVSS 评分均为 9.8，于 2026 年 9 月 18 日在公告 Synology-SA-26:13 中披露。目前攻击的入侵途径未获证实：有受害者据报使用 DSM 7.4.1，因此不能排除是更新的漏洞或其他对外开放的服务。

哪些 DSM 版本已修补较新漏洞？

公告 Synology-SA-26:13 列出的修补版本如下：

  • DSM 7.4：7.4-90075
  • DSM 7.3：7.3.2-86009-4
  • DSM 7.2.2：7.2.2-72806-9
  • DSM 7.2.1：7.2.1-69057-12

Synology 的通告没有列出 2024 年 12 月修补的版本编号，请打开“控制台”，进入“更新和还原”，安装你的型号提供的最新更新。

怎样知道 NAS 是否中招？

被加密的档案会改名并加上 .L0CK3D 副档名，其中的“O”是数字零。受影响的资料夹内会出现名为 read-me3.txt 的勒索信。日志中心出现不寻常的登录或大量档案变动，也是迹象。

NAS 被加密后该怎么做？

c3rb3r-rescue 项目与 PBX Science 对步骤顺序看法一致：

  • 立即把 NAS 从网络断开，避免加密扩散。
  • 不要终止程序、重新开机、升级 DSM 或用救援光盘开机，因为这可能毁掉仍在内存中的解密材料。
  • 保留勒索信、日志和少量加密样本档案，只在复制品上作业，切勿动原本的储存空间。
  • 联系 Synology 支持或事故应变专家，不要支付赎金。

目前没有已证实可用的 C3RB3R 免费公开解密工具，可靠的出路是一份存放在 NAS 以外的干净备份。

GitHub 上的工具能解密我的档案吗？

多半不能。c3rb3r-rescue 只记录了一宗个案：一份 16 GiB 的内存复本取得了 48 位元组的可用金钥材料。凭此，作者在隔离环境、同版本的 GitLab 中还原了约 49 GiB 的每周备份，包括 80 个项目、23 名使用者、16 个群组及 9,253 个 LFS 物件。

项目明言它不是 C3RB3R 家族的通用解密工具，只涵盖一个已分析的样本，而取回的金钥是来自内存的工作阶段金钥，并非攻击者的私钥。

要花多少钱？谁该先行动？

各来源均未列出更新的价钱，也没有提及加拿大或美国的特定资料，请到 Synology 支持页面查看你的型号。

仍用旧版 DSM 的用户。 这正是警告针对的对象，应最先更新。

NAS 可从互联网连入的用户。 取消连接埠转发，改用 VPN 或 Synology 的中继服务。

在 NAS 上运行 GitLab 或其他容器的团队。 GitHub 个案涉及 GitLab，请检查装置对外开放了什么。

只有一份数据副本的用户。 有 RAID 的 NAS 不等于备份，请加一份离线副本并测试还原。

今天就打开 Synology 的通告和公告 Synology-SA-24:20，更新 DSM，并检查日志中心有没有你不认得的登录记录。