Synology vyzývá majitele svých síťových úložišť, aby okamžitě aktualizovali systém DSM. Útočníci šifrují data na neaktualizovaných zařízeních a chtějí výkupné. Kdo má na NAS zálohy Time Machine nebo knihovnu fotek, riskuje víc než jen jeden disk. Vysvětlujeme, které verze jsou bezpečné, jak aktualizovat ručně a jak NAS dočasně odstřihnout od internetu.
Co se stalo
Synology ve čtvrtek 29. října vydalo tiskovou zprávu, ve které důrazně vyzývá všechny uživatele se zranitelnými verzemi systému DiskStation Manager (DSM), aby ho okamžitě aktualizovali. Při vyšetřování nedávných chyb v PHP firma narazila na útočníky, kteří zneužívají zranitelnost opravenou už v prosinci 2024. Míří na zařízení se staršími verzemi DSM, kterým skončila podpora. Cílem je zašifrovat data a vymáhat výkupné.
Server AppleInsider v sobotu 31. října doporučil ještě razantnější postup: odpojit NAS od sítě a co nejdřív ho aktualizovat ručně, hlavně u starších modelů. Upozorňuje na dvě zprávy uživatelů z Redditu. Jednomu napadl ransomware model DS918+, o data ale nepřišel, protože zálohoval podle pravidla 3-2-1. Druhý popsal útok na DS2422+ z 29. října, při kterém útočníci označení jako C3RB3R zašifrovali 70 TB dat a chtěli výkupné 3 000 dolarů v bitcoinech.
Francouzský server IT-Connect doplňuje, že první hlášení se objevila hlavně na čínských fórech. Čínská bezpečnostní firma 360 podle něj dostává žádosti o pomoc od začátku října a útoky připisuje ransomwaru C3RB3R z rodiny Cerber. Zašifrované soubory dostanou příponu .L0CK3D a v každé složce se objeví soubor read-me3.txt s výzvou k zaplacení.
Kterých verzí DSM se útoky týkají
Ve hře jsou dva bulletiny pro samotný systém DSM. Zářijový bulletin Synology-SA-26:13 z pátku 18. září opravuje mimo jiné chyby CVE-2026-13684 a CVE-2026-13639, obě se závažností 9,8 z 10. Útočník přes ně může na dálku a bez přihlášení číst a zapisovat libovolné soubory nebo zařízení vyřadit z provozu. Firma 360 je podle IT-Connectu označuje za vstupní bránu současných útoků. Žádné náhradní opatření Synology nenabízí, chrání jen aktualizace.
| Řada DSM | Bezpečná verze podle bulletinu SA-26:13 |
|---|---|
| DSM 7.4 | 7.4-90075 a novější |
| DSM 7.3 | 7.3.2-86009-4 a novější |
| DSM 7.2.2 | 7.2.2-72806-9 a novější |
| DSM 7.2.1 | 7.2.1-69057-12 a novější |
Synology ve své zprávě odkazuje i na starší bulletin SA-24:20 ze soutěže Pwn2Own 2024. Ten opravuje mimo jiné kritickou chybu CVE-2024-10441, která umožňuje vzdálené spuštění kódu. Opravené verze jsou 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4 a 7.1.1-42962-7. Pro DSM 6.2 bulletin uvádí verzi 6.2.4-25556-8, riziko u ní ale hodnotí jen jako střední. Kdo má DSM 7.2.1 nebo 7.2.2 ve verzi starší než tyto opravy, nemá tím pádem ani zářijovou záplatu ze SA-26:13.
PHP2Shell: druhá díra se týká balíčků
Souběžně běží oprava chyb v PHP označovaných jako PHP2Shell. Bulletin SA-26:14 z 22. října firma do 31. října třikrát rozšířila. Jde o zranitelnosti CVE-2026-109618 a CVE-2026-109619, obě se závažností 9,8, které umožňují vzdálené spuštění kódu.
Podle Synology se týkají jen zařízení s balíčky, které na PHP stojí: Calendar, IDrive, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station a WordPress. Synology Drive zasažený není. Interní PHP, které DSM používá pro vlastní potřebu, podle firmy nemá žádnou útočnou plochu zvenčí a oprava přijde v některé z dalších verzí systému.
Opravené balíčky vyšly pro DSM 7.4 a 7.3 i pro starší DSM 7.2, 7.1, 7.0 a 6.2, kterým už skončila podpora. Výjimkou je PHP 7.3, které je na konci životnosti a opravu nedostane. Na systémech starších než DSM 6.2 Synology radí zasažené balíčky dočasně vypnout a přejít na podporovanou verzi DSM.
| Balíček | Opravená verze (DSM 7.2 a novější) |
|---|---|
| PHP 7.4 | 7.4.33-0131 |
| PHP 8.0 | 8.0.30-0122 |
| PHP 8.1 | 8.1.34-0120 |
| PHP 8.2 | 8.2.35-0171 |
| PHP 8.3 | 8.3.36-0051 |
| PHP 8.4 | 8.4.27-0051 |
| Synology Calendar | 3.0.4-21435 |
| Mail Station | 30000002.3.19-20333 |
Pro DSM 7.0 až 7.1 a 6.2 mají balíčky vlastní čísla verzí, najdete je v bulletinu.
Proč hláška „máte nejnovější verzi“ nemusí sedět
AppleInsider upozorňuje na zrádnou věc: někteří uživatelé vidí v DSM, že je systém plně aktualizovaný, přestože NAS na pozadí přestal aktualizace instalovat a ve skutečnosti za aktuální verzí zaostává.
AppleInsider to dává do souvislosti s tím, jak Synology nastavuje automatické aktualizace. Podle české nápovědy DSM zařízení vydaná v roce 2025 a později kontrolují aktualizace každý den a instalují je v naplánovaném čase, instalaci důležitých aktualizací u nich ale jde odložit až o 28 dní. U NAS z roku 2024 a starších si kontrolu plánujete sami. Tyto modely navíc nabízejí volbu, při které DSM o nové verzi jen upozorní a instalaci nechá na vás. Kdo ji kdysi zvolil, musí aktualizovat ručně.
Proto si verzi ověřte dvakrát: v DSM i v Centru pro stahování Synology pro konkrétní model. Nápověda zároveň upozorňuje, že nabídka verzí se může podle konfigurace zařízení lišit.
Jak aktualizovat DSM ručně
Nápověda Synology popisuje dvě cesty. Obě začínají v nabídce Ovládací panel > Aktualizace a obnovení > Aktualizace.
- Běžná aktualizace: pokud DSM novou verzi nabízí, klikněte na Stáhnout a pak na Aktualizovat. Malé aktualizace s bezpečnostními opravami se zobrazují vedle položky Stav. Kritické opravy nesou označení důležitá verze.
- Ruční aktualizace DSM: v Centru pro stahování Synology vyberte typ a model svého NAS a na kartě Operační systém stáhněte soubor aktualizace. V DSM pak klikněte na Ruční aktualizace DSM, přes Procházet vyberte stažený soubor a pokračujte v instalaci. Po dokončení se systém sám restartuje.
- Nastavení aktualizací: zvolte Automaticky instalovat důležité aktualizace či rovnou Automaticky instalovat nejnovější aktualizace. Ani druhá volba ale NAS nepřevede na novou hlavní verzi DSM.
Aktualizace jsou nevratné a na starší verzi se vrátit nedá. Data na disku podle Synology neovlivní, přesto firma doporučuje před instalací zálohovat.
Jak aktualizovat PHP a další balíčky
PHP a další balíčky se aktualizují zvlášť, v Centru balíčků. Synology doporučuje aktualizovat PHP okamžitě. Jakmile se nová verze PHP nainstaluje, závislé balíčky se samy restartují a zranitelnost je vyřešená.
Výjimkou je Mail Station: tu musíte v Centru balíčků aktualizovat ručně. IT-Connect navíc radí odinstalovat nepoužívané balíčky, aby měl útočník méně možností.
Jak NAS dočasně odstřihnout od internetu
Dokud aktualizace neproběhne, má smysl zavřít cesty, kterými se k NAS dostane kdokoli zvenčí.
- QuickConnect: služba umožňuje aplikacím připojit se k NAS přes internet bez nastavování portů. Podle nápovědy k QuickConnect ji najdete v nabídce Ovládací panel > Externí přístup > QuickConnect. Zrušením volby Povolit QuickConnect ji vypnete celou, v Rozšířených nastaveních ji zakážete jen pro vybrané aplikace.
- Přesměrování portů: v nabídce Ovládací panel > Externí přístup > Konfigurace směrovače, případně přímo v domácím routeru, zrušte pravidla vedoucí na NAS. Rozhraní DSM používá porty 5000 (HTTP) a 5001 (HTTPS).
- Vzdálený přístup: IT-Connect doporučuje přístup k rozhraní DSM přes internet úplně zrušit a místo něj se připojovat přes VPN.
Doma v místní síti přitom NAS dál funguje, Mac na něj zálohuje i bez přístupu zvenčí.
Proč to řeší majitelé Maců
NAS od Synology umí sloužit jako cíl záloh Time Machine a výrobce na to má oficiální návod: Mac zálohuje do sdílené složky přes SMB a v macOS Ventura a novějším ji přidáte v Nastavení systému > Obecné > Time Machine. Na NAS navíc může ležet i knihovna fotek v aplikaci Synology Photos nebo sdílené soubory přes Synology Drive.
Ransomware na NAS tak může zašifrovat právě tu kopii dat, na kterou spoléháte pro případ, že Mac odejde.
IT-Connect proto připomíná pravidlo, které platí bez ohledu na aktuální útoky: NAS není záloha, ani když má disky v RAIDu. Doporučuje zapnout snímky sdílených složek s ochranou proti zápisu a držet aspoň jednu zálohu offline. Radí také vypnout výchozí účet admin, zapnout dvoufázové ověření a automatické blokování IP adres. Uživatel s modelem DS918+, o kterém psal AppleInsider, nepřišel o data díky dalším kopiím mimo napadený NAS.
Co zatím není jasné
Zdroje se rozcházejí v tom, kudy útočníci přesně vstupují. Synology mluví o chybě opravené v prosinci 2024, která cílí na verze DSM bez podpory. Firma 360 ukazuje na zářijové chyby CVE-2026-13684 a CVE-2026-13639. AppleInsider útoky spojuje s chybami v PHP, Synology ale tvrdí, že PHP2Shell se týká jen konkrétních balíčků. Kolik zařízení útočníci napadli, Synology neuvedlo.
Pro majitele NAS na tom nezáleží: obranou je ve všech případech aktuální DSM, aktuální balíčky a NAS bez zbytečného přístupu z internetu.
Bezpečnostní dění kolem Maců se teď hýbe i jinde. Nedávno jsme psali o zranitelnosti aplikace Popcorn Time a o tom, proč Apple v macOS zablokoval certifikáty eMudhra.
Nejčastější otázky o útocích na Synology NAS
Jak zjistím, jakou verzi DSM mám?
Otevřete Ovládací panel > Aktualizace a obnovení > Aktualizace. Číslo verze porovnejte s tabulkou výše a s nabídkou pro váš model v Centru pro stahování Synology. Nespoléhejte jen na hlášku, že je systém aktuální.
Stačí aktualizovat DSM?
Nestačí, pokud používáte balíčky závislé na PHP, například Web Station, WordPress, Calendar nebo Mail Station. Ty se aktualizují zvlášť v Centru balíčků.
Mám NAS jen doma bez přístupu z internetu, jsem v bezpečí?
Riziko je menší, protože zneužívané chyby útočník využívá po síti a zdroje doporučují hlavně zrušit přístup z internetu. Aktualizaci byste ale odkládat neměli. Ověřte si také, že nemáte zapnutý QuickConnect ani přesměrovaný port v routeru, obojí NAS zpřístupňuje z internetu.
Ohrožuje útok i samotný Mac?
Zdroje popisují šifrování dat na NAS, ne útok na připojené počítače. Mac ale může přijít o zálohy Time Machine a o fotky či soubory uložené jen na NAS.
Závěr
Synology opravy vydalo, problém je v zařízeních, která je nedostala. Kdo má NAS se starším DSM, s balíčky na PHP nebo s přístupem z internetu, má aktualizaci udělat co nejdřív a do té doby vypnout QuickConnect a přesměrování portů. Majitelé Maců by si zároveň měli ověřit, že zálohy Time Machine nejsou jejich jedinou kopií dat. Pokud chystáte přechod na nový Mac, projděte si i přenos dat ze starého Macu.
