Synology製NASのOS「DSM」の脆弱性を突くランサムウェア攻撃が確認され、Synologyが古いDSMの利用者に更新を呼びかけています。攻撃には2024年の脆弱性に加え、9月18日に修正されたばかりの脆弱性も使われているとの分析があり、この修正を入れていないNASは狙われるおそれがあります。
2年前と1か月前に修正された脆弱性が攻撃に
Synologyが2024年11〜12月にDSMで修正したCVE-2024-10441はNAS上で任意のプログラムを動かせる脆弱性で、2026年9月18日に修正したCVE-2026-13684とCVE-2026-13639では任意のファイルを読み書きできます。3件ともログインなしに外部から攻撃でき、深刻度を示すCVSSは10点満点中9.8です。
そんな中、Synologyは10月29日、2024年に修正した脆弱性（Synology-SA-24:20）を突いて古いDSMを使うNASのデータを暗号化し、身代金を求める攻撃者を確認したと発表しました。
一方、10月に入って複数の被害相談を受け、検体を解析した中国のセキュリティ企業360は、侵入には9月に修正された2件が使われているとしています。攻撃に使われているのは古くからあるランサムウェアCerberの亜種「C3RB3R」で、ファイルの拡張子を「.L0CK3D」に変え、フォルダーごとに身代金を求めるメモ「read-me3.txt」を置くとのことです。
2024年の脆弱性は修正後の2025年3〜4月に詳細が公開されており、修正から2年近く経った今も攻撃に使われ、9月の2件も修正から約1か月で悪用されています。360はこれを多くのNASがまだ更新されていない証拠だとしており、攻撃者は修正が公開されても更新されないNASを狙っているとみられます。
9月18日以降のDSMへ更新が推奨
DSMを下の表のバージョン以降に更新すれば、Synologyが挙げる2024年の脆弱性も、360が挙げる9月の脆弱性2件も塞がります。2024年の修正を入れたあと更新していないNASは、Synologyが発表した攻撃は防げても、9月に修正された2件の脆弱性は塞がっていないため、360が確認したC3RB3Rの攻撃を受けるおそれがあります。
| DSMの系統 | 更新先 |
|---|---|
| DSM 7.4 | 7.4-90075以降 |
| DSM 7.3 | 7.3.2-86009-4以降 |
| DSM 7.2.2 | 7.2.2-72806-9以降 |
| DSM 7.2.1 | 7.2.1-69057-12以降 |
更新しても、次に重大な脆弱性が見つかれば修正から更新までの間は今回と同じように狙われると考えられますが、DSMの管理画面にインターネットから接続できなければ、ログインの要らない脆弱性でも外から突かれにくくなります。そのため、ルーターのポート開放で管理画面を直接公開しているなら、外からの接続はVPN経由に切り替え、Synologyが勧める自動更新も有効にしておいた方が安全です。
