Synology-NAS: Ransomware nutzt alte DSM-Lücke

Am 29. Oktober 2026 hat Synology eine ungewöhnlich deutliche Pressemitteilung veröffentlicht: Angreifer nutzen eine Schwachstelle, die bereits im Dezember 2024 behoben wurde, um NAS-Geräte mit veraltetem Betriebssystem zu verschlüsseln und Lösegeld zu fordern (S1). Das Betriebssystem heißt DiskStation Manager, kurz DSM. Wer sein Synology-NAS seit Jahren nicht aktualisiert hat, sollte heute nachsehen. Und wer das NAS als einziges Backup betreibt, ohnehin.

Rund um den Fall kursieren viele Details. Einige davon widersprechen sich. Dieser Beitrag trennt deshalb, was der Hersteller selbst sagt, was nur Medien berichten und was Sie unabhängig davon tun können.

Was Synology selbst bestätigt

Die Pressemitteilung ist kurz. Synology habe Angreifer identifiziert, die eine im Dezember 2024 behobene Schwachstelle ausnutzen, um Geräte mit veralteten DSM-Versionen zu verschlüsseln. Der Hersteller bittet alle Nutzer verwundbarer Versionen, sofort zu aktualisieren, und empfiehlt automatische Updates (S1). Mehr steht dort nicht: keine Zahl betroffener Geräte, kein CVE, kein Name der Schadsoftware.

Verwiesen wird auf den Sicherheitshinweis Synology-SA-24:20. Er erschien am 5. November 2024 und ist als kritisch eingestuft. Darin steht unter anderem CVE-2024-10441 mit einem CVSS-Wert von 9,8: Angreifer können über das Netzwerk aus der Ferne beliebigen Code ausführen. Eine Abhilfe ohne Update nennt der Hinweis nicht (S2).

Wichtig für die Einordnung: Synology sagt nicht ausdrücklich, dass genau diese Lücke benutzt wird. Dass die Mitteilung auf SA-24:20 verweist, ist ein starker Hinweis, aber unsere Lesart und keine Aussage des Herstellers.

Welche DSM-Stände mindestens nötig sind

SA-24:20 nennt je DSM-Zweig diese Mindeststände (S2):

• DSM 7.2.2: 7.2.2-72806-1 oder neuer
• DSM 7.2.1: 7.2.1-69057-6 oder neuer
• DSM 7.2: 7.2-64570-4 oder neuer
• DSM 7.1: 7.1.1-42962-7 oder neuer
• DSM 6.2: 6.2.4-25556-8 oder neuer (dort als „moderate“ eingestuft)

Das sind nur die Untergrenzen für diesen einen Hinweis. Am 18. September 2026 hat Synology mit SA-26:13 einen weiteren kritischen Hinweis veröffentlicht. Er nennt Updates für DSM 7.4 (7.4-90075), 7.3 (7.3.2-86009-4), 7.2.2 (7.2.2-72806-9) und 7.2.1 (7.2.1-69057-12), wieder ohne Abhilfe außer dem Update (S3, S5). Für DSM 7.1 und 6.2 nennt SA-26:13 keine Updates. Wer dort noch steht, sollte prüfen, ob das Modell auf DSM 7.2 oder neuer aktualisiert werden kann. Das ist unsere Schlussfolgerung, keine Herstelleraussage.

Ein dritter Hinweis betrifft ebenfalls das Thema Web-Software: Synology führt SA-26:14 „PHP2Shell“ als kritisch und behoben, veröffentlicht am 22. Oktober 2026 und zuletzt aktualisiert am 31. Oktober 2026. Betroffen sind laut Hinweis die DSM-Pakete Synology Calendar und Mail Station sowie die PHP-Versionen 7.3 bis 8.4; Hyper Backup ist als nicht betroffen aufgeführt. Für PHP 7.3 gibt es keinen Fix, weil die Version das Lebensende erreicht hat (S4). Den Hintergrund der PHP-Lücken haben wir in PHP-Lücke PHP2Shell: Was Website-Inhaber jetzt prüfen sollten beschrieben.

Was Medien berichten – und wo sich Berichte widersprechen

In Berichten taucht die Schadsoftware als „C3RB3R“ auf, verschlüsselte Dateien tragen die Endung „.L0CK3D“, in den Ordnern liegt eine Notiz namens „read-me3.txt“ (S6, S7). Beide Berichte stützen sich auf Dritte (360 beziehungsweise HKEPC), der Hersteller bestätigt diese Details in seiner Mitteilung nicht. Bei einem Punkt sind sich die Berichte einig: Eine bestätigte kostenlose Entschlüsselung gibt es bisher nicht (S6, S7).

Bei den Einzelheiten gehen die Quellen auseinander:

• Einstiegsweg: CyberExperts schreibt, nach Angaben der Firma 360 seien zwei Lücken in DSM die Ursache (CVE-2026-13639 und CVE-2026-13684), die Synology am 18. September 2026 behoben habe (S6). Das passt nicht zu Synologys eigener Angabe „Dezember 2024“ (S1). Guru3D nennt unter Berufung auf HKEPC dagegen Docker-Container, deren Ports nach außen freigegeben sind, und Synology-Pakete über PHP2Shell (S7).
• Verschlüsselung: ChaCha8 mit RSA-2048 laut CyberExperts, RSA-4096 mit AES oder ChaCha20 laut HKEPC (S6, S7). Für Ihre Entscheidungen ist das unerheblich, deshalb nennen wir kein Verfahren als Tatsache.
• Auch ein aktuelles System schützt vielleicht nicht allein: Laut TrebSec, zitiert von CyberExperts, soll ein Vorfallsteam ein Opfer mit einem aktuellen DSM-7.4.1-Stand gesehen haben und einen anderen Einstiegsweg nicht ausschließen können (S6). Das ist ein Bericht aus zweiter Hand.

Unsere Einordnung: Gesichert ist, dass Synology Angriffe auf veraltete DSM-Versionen bestätigt. Offen sind die genaue Lücke und das Ausmaß. In der Praxis ist das zweitrangig, denn die sinnvollen Maßnahmen sind in allen Berichten dieselben. Im CISA-Katalog bekannter ausgenutzter Schwachstellen (Version 2026.10.30) haben wir keinen Eintrag zu den genannten CVEs gefunden (S8). Das beweist aber keine Entwarnung, solche Kataloge hinken Meldungen oft hinterher.

Was Sie heute prüfen sollten

1. DSM-Version feststellen und aktualisieren. Das Update finden Sie in der Systemsteuerung unter „Update und Wiederherstellung“ (S6). Aktivieren Sie die automatischen Updates, wie Synology es empfiehlt (S1).
2. Verwaltungsoberfläche nicht ins Internet stellen. Prüfen Sie im Router, ob Portweiterleitungen auf das NAS bestehen, und entfernen Sie die auf die Verwaltungsports. Für den Zugriff von außen empfiehlt CyberExperts ein VPN oder den Relay-Dienst des Herstellers, dazu die NAS-Firewall mit einer Liste vertrauenswürdiger Adressen (S6).
3. Anmeldung absichern. Zwei-Faktor-Anmeldung, automatische IP-Sperre und das Deaktivieren des Standard-Administratorkontos gehören laut CyberExperts dazu (S6).
4. Pakete und Container durchsehen. Was Sie nicht mehr brauchen, deinstallieren Sie. HKEPC beschreibt Container mit nach außen gelegten Ports als einen der berichteten Wege (S7).
5. Sicherung prüfen. Dazu mehr im nächsten Abschnitt.

Das NAS ist kein Backup

Der unangenehme Teil der Berichte betrifft die Datensicherung: Liegen die Sicherungskopien auf demselben NAS, behandelt die Schadsoftware sie laut Guru3D wie normale Dateien und verschlüsselt sie mit (S7). Wer nur eine Kopie hat, die das NAS beschreiben kann, hat im Ernstfall nur eine Kopie, die ebenfalls verloren ist.

CyberExperts empfiehlt Snapshots der Freigaben mit Manipulationsschutz und eine Sicherung auf einer Platte, die zwischen den Läufen weder am NAS noch im Netz hängt (S6). Das ist die altbekannte Regel dahinter, die wir in NAS vorhanden – Backup erledigt? erklärt haben. Und eine Sicherung zählt erst, wenn sich daraus etwas zurückholen lässt: So testen Sie Ihre Datensicherung richtig.

Wenn das NAS schon betroffen ist

• Suchen Sie nach Dateien mit der Endung „.L0CK3D“ und nach „read-me3.txt“ in den Freigaben (S6).
• Trennen Sie das Gerät vom Netzwerk. Sichern Sie Lösegeldnotiz, Protokolle und einige verschlüsselte Beispieldateien (S6, S7).
• Starten Sie nicht neu, installieren Sie nicht neu und initialisieren Sie keine Laufwerke, bevor die Lage beurteilt ist (S6, S7).

Grenzen und offene Punkte

• Stand dieses Beitrags: 31. Oktober 2026. Die Lage ist erst zwei Tage alt, Angaben können sich ändern.
• Die Details zu Name, Endung, Verschlüsselung und Einstiegsweg stammen aus Sekundärberichten, die sich teils widersprechen. Wir haben keine eigenen Messungen und keinen Befall untersucht.
• Die Synology-Mitteilung nennt kein CVE. Die Zuordnung zu CVE-2024-10441 ist unsere Lesart über den Verweis auf SA-24:20.
• Ob die in den Berichten genannten Einstiegswege mit SA-26:14 zusammenhängen, ist nach den Quellen offen. Guru3D nennt unter Berufung auf HKEPC SA-26:14 als Advisory, die Synology-Pressemitteilung verweist dagegen nur auf SA-24:20.
• Menüpunkte in DSM können je nach Version und Sprache abweichen.

Fazit: Version prüfen, Zugang schließen, eine Kopie abseits des NAS

Synology hat das Problem selbst bestätigt, und der Rat ist unspektakulär: DSM aktualisieren, die Verwaltungsoberfläche nicht ins Internet stellen und mindestens eine Sicherung haben, an die das NAS nicht heranreicht. Wer das an einem Nachmittag erledigt, muss sich um den Streit der Berichte über Algorithmen und Einstiegswege weniger sorgen.

Sie wissen nicht, welchen DSM-Stand Ihr NAS hat, oder wollen Zugriff von außen und Sicherung sauber aufstellen? DGH-IT schaut sich das gern mit Ihnen an, ohne Verkaufsdruck.

Quellen & weiterführende Informationen

• Synology: Pressemitteilung „Synology urges users to update DSM following ransomware attacks on outdated DSM versions“ – Angriffe auf veraltetes DSM, Empfehlung zu Updates, Verweis auf SA-24:20; 29. Oktober 2026.
• Synology: Sicherheitshinweis SA-24:20 – CVE-2024-10441, Mindeststände je DSM-Zweig; veröffentlicht 5. November 2024, zuletzt aktualisiert 28. März 2025.
• Synology: Sicherheitshinweis SA-26:13 – kritische DSM-Lücken, Updates für DSM 7.4, 7.3, 7.2.2 und 7.2.1; 18. September 2026.
• Synology: Sicherheitshinweis SA-26:14 – PHP2Shell, betroffene Pakete und Fixstände; veröffentlicht 22. Oktober 2026, zuletzt aktualisiert 31. Oktober 2026.
• NIST NVD: CVE-2026-13639 – Lücke aus SA-26:13, Status „Awaiting Analysis“, CVSS 9,8 von Synology als Secondary-Quelle; Stand 1. November 2026.
• CyberExperts: C3RB3R Ransomware Hits Synology NAS, Update DSM – Angaben von 360 und TrebSec, Hinweise zu Absicherung und Vorgehen im Schadensfall; 30. Oktober 2026.
• Guru3D: Synology NAS Devices Hit by L0CK3D Ransomware Campaign – Bericht von HKEPC, berichtete Einstiegswege, Hinweise zu Sicherungen; 29. Oktober 2026.
• CISA: Known Exploited Vulnerabilities Catalog – Katalogversion 2026.10.30, eigene Abfrage; abgerufen 31. Oktober 2026.

Alle Quellen abgerufen am 01.11.2026.