Synology prévient : C3RB3R chiffre les NAS DSM non mis à jour

Le 29 octobre 2026, Synology Inc. a prévenu depuis Taipei que des attaquants exploitaient une faille corrigée en décembre 2024 pour chiffrer les données des NAS DiskStation Manager (DSM) encore sur une version obsolète et en réclamer la rançon.

Ce que dit le communiqué du 29 octobre 2026

Le texte publié par Synology tient en quelques lignes. L'éditeur a identifié des acteurs qui visent les appareils dont le DSM n'a pas reçu le correctif de décembre 2024. L'objectif décrit est de chiffrer les données et d'extorquer une rançon. Synology demande à tous les utilisateurs de versions vulnérables de mettre DSM à jour immédiatement, et d'activer les mises à jour automatiques pour ne plus rester en retard.

Le communiqué ne nomme pas la faille utilisée. Il renvoie vers l'avis Synology-SA-24:20, ouvert le 5 novembre 2024. BleepingComputer a repris l'alerte le 2 novembre 2026. Sergiu Gatlan y rappelle que Synology publie rarement ce type d'avertissement : le précédent de cette nature datait d'août 2019, après des attaques par force brute associées au rançongiciel eCh0raix. Les premiers signalements de fichiers déjà chiffrés remontent, selon le même article, à plus de deux semaines avant le 2 novembre 2026.

L'avis de 2024 regroupe trois failles, pas une seule

Synology-SA-24:20, dont la dernière révision date du 28 mars 2025, décrit trois failles issues du concours Pwn2Own 2024. La plus grave, CVE-2024-10441, est notée 9,8 sur 10 selon le barème CVSS 3.1 retenu par Synology. Elle permet à un attaquant distant d'exécuter du code sans authentification sur DSM avant les builds 7.2-64570-4, 7.2.1-69057-6 et 7.2.2-72806-1. Le vecteur publié est CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H : le réseau suffit, aucun clic de l'utilisateur n'est requis. La même fiche vise aussi BeeStation OS (BSM) avant la version 1.1-65374. Le communiqué du 29 octobre 2026, lui, ne parle que de DSM.

Deux autres failles, plus limitées, figurent dans le même avis. CVE-2024-50629, notée 5,3, permet de lire un nombre restreint de fichiers. CVE-2024-10445, notée 4,3, permet d'écrire un nombre restreint de fichiers depuis le réseau local, via la fonction de mise à jour. Synology n'a pas indiqué, au 29 octobre 2026, laquelle des trois sert aux chiffrements en cours. Le communiqué parle d'une vulnérabilité, au singulier, corrigée en décembre 2024. C'est le 5 décembre 2024 que le correctif de la branche DSM 6.2 a été ajouté à l'avis.

Les versions à atteindre, branche par branche

L'avis Synology-SA-24:20 fixe les paliers suivants, à égaler ou à dépasser.

• DSM 7.2.2, sévérité critique : 7.2.2-72806-1 ou plus récent.

• DSM 7.2.1, sévérité critique : 7.2.1-69057-6 ou plus récent.

• DSM 7.2, sévérité critique : 7.2-64570-4 ou plus récent.

• DSM 7.1, sévérité critique : 7.1.1-42962-7 ou plus récent.

• DSM 6.2, sévérité modérée : 6.2.4-25556-8 ou plus récent.

La case « Mitigation » de l'avis porte la mention « None » : Synology ne décrit aucun contournement à la place de la mise à jour. BleepingComputer, qui cite le projet Shadowserver au 2 novembre 2026, évoque plus de 380 000 NAS Synology exposés sur Internet. Ce décompte ne dit pas combien sont encore en version vulnérable, ni combien sont des leurres de chercheurs. Le même article recommande, en plus du correctif, de couper l'accès Internet à l'interface d'administration.

À quoi ressemble C3RB3R sur un volume chiffré

Les victimes décrites par BleepingComputer voient l'extension .L0CK3D ajoutée aux fichiers chiffrés, et une note nommée read-me3.txt. Cette note commence par la phrase « All your important files have been encrypted. » Elle oriente ensuite vers l'achat d'un programme appelé C3rb3r Decryptor. Le nom reprend celui de Cerber, un rançongiciel proposé comme service à partir de 2016 et retiré fin 2019, qui représentait alors plus de 80 % des attaques par rançongiciel selon le décompte rappelé par BleepingComputer. Une souche homonyme est aussi observée depuis décembre 2021 sur des serveurs Atlassian Confluence et GitLab. Rien, dans les sources du 2 novembre 2026, ne relie formellement ces opérateurs à ceux qui frappent les NAS Synology.

Synology ne publie pas d'outil de déchiffrement dans son communiqué du 29 octobre. Le seul geste demandé est la mise à jour des appareils encore en retard, avant qu'ils ne soient chiffrés. Le même schéma, une faille déjà corrigée mais encore présente sur des équipements exposés, a déjà servi à des rançongiciels sur des pare-feu WatchGuard Firebox.

Source

• Synology, communiqué du 29 octobre 2026 : alerte sur les DSM obsolètes et renvoi vers l'avis de 2024.

• Synology-SA-24:20 : CVE-2024-10441, CVE-2024-50629, CVE-2024-10445 et builds corrigés.

• BleepingComputer, 2 novembre 2026 : note read-me3.txt, extension .L0CK3D et décompte Shadowserver.