內文
Synology 警示，攻擊者正針對未更新的 DSM 設備進行勒索攻擊。 NAS 即使平常作為備份設備，也可能因管理入口暴露、修補不足或備份可被同一組帳號改寫而影響復原。請先確認是否已有加密跡象，再依設備狀態分流處理。
2026 年 10 月 29 日，Synology 指出攻擊者利用已於 2024 年 12 月修補的漏洞攻擊舊版 DSM，並引導查閱 Synology-SA-24:20，公告未指明本次事件的 CVE。360 同日表示，其處理的事件樣本涉及 C3RB3R 勒索程式，並將入口歸因 CVE-2026-13639 與 CVE-2026-13684，兩項屬 Synology-SA-26:13。兩方說法涉及不同漏洞與觀測範圍，尚不能斷定每起事件的實際入口，或判定兩者必然是同一攻擊鏈。
SA-24:20 包含 CVE-2024-10441，原廠描述為特定 DSM 版本的未認證遠端程式碼執行，但 Synology 本次新聞沒有明指該編號。SA-26:13 的 13639 與 13684 分別涉及登入邏輯及 SCGI，原廠描述可遠端讀寫任意檔案或造成阻斷服務，CVSS v3.1 均為 9.8；不能將其公告能力直接寫成原廠已證實勒索程式如何執行。
- 01
設備可被接觸
攻擊者接觸可達的 NAS 服務，實際入口依個案調查
- 02
利用舊版或其他入口
原廠與 360 對入口的觀察不同，不排除個案存在其他途徑
- 03
取得影響檔案的能力
具體權限及行為需以該設備證據確認
- 04
資料加密與勒索
360 樣本出現 .L0CK3D 與 read-me3.txt；缺少這些跡象不代表安全
先判斷設備狀態，再應對
- 01
盤點與限縮入口
列出 NAS 型號、DSM 分支、套件、對外服務及委外設備，關閉不必要的對外管理轉址並限制管理來源
看看能怎麼應對2項資源
TWISA 會員方案
盤點與限縮入口
列出 NAS 型號、DSM 分支、套件、對外服務及委外設備，關閉不必要的對外管理轉址並限制管理來源
- 02
核對兩份公告並更新
依下表及型號支援狀態安裝原廠最新適用更新；不支援者先隔離管理入口並規劃替換
看看能怎麼應對1項資源
TWISA 會員方案
核對兩份公告並更新
依下表及型號支援狀態安裝原廠最新適用更新；不支援者先隔離管理入口並規劃替換
- 03
強化身分與服務
啟用 MFA、檢視特權帳號、停用閒置服務與共享連結，檢查自動更新設定
看看能怎麼應對1項資源
TWISA 會員方案
強化身分與服務
啟用 MFA、檢視特權帳號、停用閒置服務與共享連結，檢查自動更新設定
- 04
確保備份可復原
檢查不可變快照與離線或獨立備份，確認管理權限分離並實際測試還原
看看能怎麼應對1項資源
TWISA 會員方案
確保備份可復原
檢查不可變快照與離線或獨立備份，確認管理權限分離並實際測試還原
- 01
隔離受影響設備
立即從網路隔離受影響 NAS，避免繼續加密或擴散；同步評估服務中斷與其他連接設備
看看能怎麼應對1項資源
TWISA 會員方案
隔離受影響設備
立即從網路隔離受影響 NAS，避免繼續加密或擴散；同步評估服務中斷與其他連接設備
- 02
保全證據與備份
保留勒索信、加密樣本、時間、設定與可取得的日誌；保護離線備份與快照，勿先重設、重灌或覆寫來源設備
看看能怎麼應對1項資源
TWISA 會員方案
保全證據與備份
保留勒索信、加密樣本、時間、設定與可取得的日誌；保護離線備份與快照，勿先重設、重灌或覆寫來源設備
- 03
調查範圍與憑證
協同應變人員檢查管理登入、共享、連線端點與備份系統，從可信裝置輪替可能受影響的帳號與秘密
看看能怎麼應對3項資源
TWISA 會員方案
調查範圍與憑證
協同應變人員檢查管理登入、共享、連線端點與備份系統，從可信裝置輪替可能受影響的帳號與秘密
- 04
乾淨環境復原
確認入口與範圍，依原廠與應變計畫重建並更新，在隔離環境驗證乾淨備份後還原，複驗再上線
看看能怎麼應對2項資源
TWISA 會員方案
乾淨環境復原
確認入口與範圍，依原廠與應變計畫重建並更新，在隔離環境驗證乾淨備份後還原，複驗再上線
已加密時，更新不會自動解密資料，也不足以證明攻擊者已被移除。先隔離並協同應變人員保存證據，再決定重啟、更新或重建時機；涉及揮發性資料與現場安全取捨，交由應變人員依情況判斷。不要將不確定的解密工具或勒索方付款視為保證復原。
依 DSM 分支核對修補
下表是兩份公告各自的最低修補門檻，不是所有型號的最新版本，也不是受侵個案的漏洞歸因。請依型號與支援狀態安裝可取得的最新適用版本。SA-24:20 的 DSM 6.2 與 7.1 列項為公告中其他漏洞的分支修補，不應宣稱這兩分支必受 CVE-2024-10441 影響。未列的分支不能推定無其他風險。
| DSM 分支 | SA-24:20 最低修補 | SA-26:13 最低修補 |
|---|---|---|
| 7.4 | 公告未列該分支 | 7.4-90075 |
| 7.3 | 公告未列該分支 | 7.3.2-86009-4 |
| 7.2.2 | 7.2.2-72806-1 | 7.2.2-72806-9 |
| 7.2.1 | 7.2.1-69057-6 | 7.2.1-69057-12 |
| 7.2 | 7.2-64570-4 | 公告未列該分支 |
| 7.1 | 7.1.1-42962-7 | 公告未列該分支 |
| 6.2 | 6.2.4-25556-8 | 公告未列該分支 |
盤點正式、備援、異地與委外 NAS，以及同步與備份關係
業務連線依授權放行，各層分別落實防護
- 01
管理與網路入口
管理介面、VPN 與維運設備
查看處理指引2項資源
應對方式與指引
管理與網路入口
限制管理來源，關閉不必要的公開服務與連接埠，啟用 MFA
縮小可達範圍限制管理來源，關閉不必要的公開服務與連接埠，啟用 MFA
- 02
NAS 與連線端點
DSM、套件、共享及維運帳號
查看處理指引2項資源
應對方式與指引
NAS 與連線端點
依支援分支更新，最小權限與集中日誌，檢視異常存取
修補與監控依支援分支更新，最小權限與集中日誌，檢視異常存取
- 03
備份與復原環境
快照、異地或離線備份與還原目標
查看處理指引2項資源
應對方式與指引
備份與復原環境
分離備份管理權限，建立不可變或離線備份並定期還原測試
隔離與驗證分離備份管理權限，建立不可變或離線備份並定期還原測試
各層日誌與流量，送往監控與應變流程
- 偵測與事件應變關聯管理登入、帳號異動、檔案大量變更及備份狀態，異常時啟動隔離與調查
查看處理指引2項資源
應對方式與指引
偵測與事件應變
關聯管理登入、帳號異動、檔案大量變更及備份狀態，異常時啟動隔離與調查
會員服務分類依資產與工作目的導引：NAS 與網路入口可參考資產曝險及基礎設施防護；管理身分參考身分識別與零信任；備份參考資料與數位信任保護；偵測、鑑識與復原分別參考威脅監控與事件應變。服務範圍應以各會員實際提供內容為準。
來源與延伸閱讀
TWISA 會員方案
盤點與限縮入口
列出 NAS 型號、DSM 分支、套件、對外服務及委外設備，關閉不必要的對外管理轉址並限制管理來源
核對兩份公告並更新
依下表及型號支援狀態安裝原廠最新適用更新；不支援者先隔離管理入口並規劃替換
強化身分與服務
啟用 MFA、檢視特權帳號、停用閒置服務與共享連結，檢查自動更新設定
確保備份可復原
檢查不可變快照與離線或獨立備份，確認管理權限分離並實際測試還原
隔離受影響設備
立即從網路隔離受影響 NAS，避免繼續加密或擴散；同步評估服務中斷與其他連接設備
保全證據與備份
保留勒索信、加密樣本、時間、設定與可取得的日誌；保護離線備份與快照，勿先重設、重灌或覆寫來源設備
調查範圍與憑證
協同應變人員檢查管理登入、共享、連線端點與備份系統，從可信裝置輪替可能受影響的帳號與秘密
乾淨環境復原
確認入口與範圍，依原廠與應變計畫重建並更新，在隔離環境驗證乾淨備份後還原，複驗再上線
- Synology：10/29 勒索攻擊通知
- Synology-SA-24:20：2024 年漏洞與適用版本
- Synology-SA-26:13：2026 年漏洞與適用版本
- 360：C3RB3R 樣本與入口研究
- Synology：遭勒索攻擊後的處理參考
通報更新日期：2026/10/29。產品支援與修補狀態以原廠最新資料為準。