Si votre NAS Synology est accessible depuis Internet, vérifiez aujourd’hui sa version de DSM : une vague de chiffrement attribuée au rançongiciel C3RB3R exploite des failles déjà corrigées, et les mises à jour restent la seule parade indiquée par le constructeur.
- Des NAS non à jour voient leurs fichiers chiffrés, avec l’extension .L0CK3D et une note read-me3.txt.
- Deux failles critiques ont été corrigées par Synology le 18 septembre 2026, et aucune mesure de contournement n’existe.
- Le bon réflexe : installer le correctif, puis couper l’accès direct à DSM depuis Internet.
Les points :
Que se passe-t-il sur les NAS Synology ? #
L’alerte a été détaillée le 29 octobre par IT-Connect. Des propriétaires de NAS y sont décrits découvrant leurs données chiffrées, d’abord à travers des signalements sur des forums chinois.
À lire Arnaque WhatsApp au faux concours : comment l’escroc prend la main sur votre compte
Le même jour, l’éditeur de sécurité chinois 360 a publié un bulletin. Il dit recevoir des demandes d’aide depuis début octobre et attribue ces attaques à C3RB3R, présenté comme une variante de Cerber. Toujours selon IT-Connect, Synology a envoyé une alerte par e-mail à ses clients.
Prudence sur un point : l’attribution et la liste des failles utilisées viennent de 360. Nous n’avons pas trouvé, à ce stade, de bilan chiffré du nombre d’appareils touchés.
Comment reconnaître une infection ? #
Les signes décrits sont assez nets. Les fichiers prennent l’extension .L0CK3D, parfois écrite .LOCK3D selon les rapports, et une note de rançon nommée read-me3.txt apparaît dans chaque dossier. Elle renvoie vers un site sur le réseau Tor.
Le chiffrement combine ChaCha8 et des clés protégées par RSA-2048. Autrement dit, ouvrir ou renommer les fichiers ne servira à rien : retirer l’extension ne rend pas les données lisibles.
À lire Taxe de 2 € sur les colis hors UE : le faux SMS de la douane à ne pas payer
Quelles failles sont exploitées ? #
360 cite deux portes d’entrée. La première est le couple CVE-2026-13639 et CVE-2026-13684, publié dans l’avis Synology-SA-26:13. Les deux sont classées critiques, avec un score CVSS de 9,8 sur 10, et concernent la logique de connexion et le composant SCGI.
La seconde est plus ancienne. CVE-2024-10441, mise au jour lors du concours Pwn2Own 2024, permet d’exécuter du code à distance. Son avis date de novembre 2024 : elle vise donc surtout les appareils restés sur de vieilles versions de DSM.
Dans les deux avis, la rubrique « mitigation » tient en un mot : « None ». Pas de réglage de secours, seule la mise à jour règle le problème.
Quelle version de DSM faut-il avoir ? #
Pour la vérifier, ouvrez DSM, puis Panneau de configuration et Mise à jour et restauration. Comparez le numéro affiché à ce tableau, tiré de l’avis de septembre.
À lire Windows 11 24H2 : fin des mises à jour de sécurité le 13 octobre, comment passer en 25H2
| Branche installée | Version minimale corrigée |
|---|---|
| DSM 7.4 | 7.4-90075 |
| DSM 7.3 | 7.3.2-86009-4 |
| DSM 7.2.2 | 7.2.2-72806-9 |
| DSM 7.2.1 | 7.2.1-69057-12 |
Si votre branche n’y figure pas, considérez que le NAS n’est pas couvert par ce correctif et regardez s’il peut passer sur une branche suivie. S’il ne le peut pas, évitez de le laisser joignable depuis Internet.
Quels réglages faire après la mise à jour ? #
La mesure la plus utile tient à votre box. Supprimez les redirections de ports vers DSM et passez par un VPN pour vous connecter à distance : une interface qui n’est plus exposée ne peut plus être attaquée directement depuis Internet.
IT-Connect conseille ensuite de mettre à jour les paquets installés, comme PHP, Mail Station ou Synology Calendar, et de retirer ceux qui ne servent plus. Moins il y a de services actifs, moins il y a de portes à surveiller.
Côté comptes, désactivez l’administrateur par défaut, activez la double authentification et le blocage automatique des adresses IP. Ces réglages se trouvent dans les rubriques Utilisateur et Sécurité du Panneau de configuration.
À lire alerte à la sécurité : des milliers de données de clients des Packers compromises
Vos sauvegardes tiendraient-elles le choc ? #
C’est la question à se poser même si tout va bien. Comme le rappelle IT-Connect, le RAID n’est pas une sauvegarde : il protège d’une panne de disque, pas d’un chiffrement qui s’applique à tous les disques en même temps.
Deux protections se complètent. Les instantanés protégés contre la modification, sur les dossiers partagés, permettent de revenir en arrière. Une copie hors ligne, sur un disque débranché après usage, reste hors de portée d’un attaquant présent sur le réseau.
Testez aussi la restauration d’un dossier. Une sauvegarde jamais relue peut réserver une mauvaise surprise le jour où elle devient indispensable.
Questions fréquentes #
Mon NAS n’est accessible que chez moi, suis-je concerné ?
Les failles citées s’exploitent à distance, ce qui vise d’abord les appareils exposés. Le correctif reste à installer dans tous les cas, car un autre appareil compromis sur votre réseau local pourrait aussi atteindre le NAS.
À lire Phishing (hameçonnage) : le reconnaître et s’en protéger
Mon NAS est chiffré : que faire en premier ?
Débranchez-le du réseau et conservez la note et quelques fichiers chiffrés avant toute réinitialisation. Évitez de formater dans la précipitation : vous perdriez ce qui pourrait servir à une récupération. Notre conseil : demandez l’aide du support Synology ou d’un professionnel avant toute manipulation.
Les failles PHP2Shell ont-elles un lien avec cette vague ?
IT-Connect signale simplement que Synology a aussi corrigé ces failles dans plusieurs paquets, via le bulletin Synology-SA-26:14. Raison de plus pour ne pas s’arrêter à DSM et mettre à jour les paquets au passage.
