--- title: "Synology NAS 遭 C3RB3R 勒索軟體攻擊：官方與第三方說法差在哪，中小企業這週該做的六件事" description: "Synology 於 2026 年 10 月 29 日證實勒索軟體正利用已修補漏洞攻擊舊版 DSM，最該做的是立即更新 DSM 並收掉公網入口。本文整理 C3RB3R 的已知特徵、官方與第三方對入侵漏洞的不同說法，並給台灣中小企業可照做的斷網、更新、帳號檢查、離線備份與通報步驟。" canonical: "https://yotron-ai.com/blog/synology-nas-c3rb3r-ransomware-sme-response" published: "2026-10-30" last-updated: "2026-10-30" --- # Synology NAS 遭 C3RB3R 勒索軟體攻擊：官方與第三方說法差在哪，中小企業這週該做的六件事 Synology 於 2026 年 10 月 29 日證實勒索軟體正利用已修補漏洞攻擊舊版 DSM，最該做的是立即更新 DSM 並收掉公網入口。本文整理 C3RB3R 的已知特徵、官方與第三方對入侵漏洞的不同說法，並給台灣中小企業可照做的斷網、更新、帳號檢查、離線備份與通報步驟。 > 文／Laban（優創智能 AI 導入工程師） C3RB3R 是一支把 NAS 檔案加密成 .L0CK3D 副檔名、再留下 read-me3.txt 勒索信的勒索軟體，2026 年 10 月下旬被多家媒體報導正在攻擊 Synology NAS。結論先講：**這次不是「NAS 不安全」，而是「沒更新、又直接開在公網上的 NAS 不安全」**。Synology 官方已證實攻擊者鎖定舊版 DSM，而且沒有替代緩解措施，更新 DSM 是唯一修補方式；在更新完成前，先把 NAS 從公網收回來。 本文分成三部分：官方公告與媒體報導中的**已知事實**、官方與第三方**說法不一致的地方**，以及台灣中小企業可以照著做的**六個步驟**。本文不是事件鑑識報告，也不取代原廠技術支援；資料截至 2026 年 10 月 30 日。 --- ## 一、已知事實：官方說了什麼 ### 1. Synology 官方公告（2026-10-29） Synology 在 10 月 29 日發布公告，標題是呼籲用戶更新 DSM。公告內容很短，重點有三個： - Synology 已發現攻擊者利用一個**在 2024 年 12 月就已修補的漏洞**，鎖定仍在執行舊版 DSM 的設備，目的是加密資料並勒索贖金。 - 公告指向的安全通報是 **Synology-SA-24:20**。 - 官方強烈建議執行受影響版本的用戶**立即更新 DSM**，並**開啟自動更新**。 公告本身沒有寫出 CVE 編號、勒索軟體名稱或受影響設備數量。 ### 2. SA-24:20 裡有什麼 SA-24:20 是 Pwn2Own 2024 發現的 DSM 漏洞通報，最初於 2024 年 11 月 5 日發布，嚴重等級為 Critical。其中最嚴重的是 **CVE-2024-10441**，CVSS 3.1 分數 9.8，屬於未經驗證即可從遠端執行任意程式碼的漏洞。各版本的修補版號如下： | DSM 版本 | 修補版本（或更新） | | --- | --- | | DSM 7.2.2 | 7.2.2-72806-1 | | DSM 7.2.1 | 7.2.1-69057-6 | | DSM 7.2 | 7.2-64570-4 | | DSM 7.1 | 7.1.1-42962-7 | | DSM 6.2（Moderate） | 6.2.4-25556-8 | ### 3. 媒體報導的中毒特徵 依 IT-Connect（10-29）與 PBX Science（10-29）的報導： - C3RB3R 被描述為長期存在的 **Cerber 勒索軟體家族變種**。 - 被加密的檔案改成 **.L0CK3D** 副檔名，照片、文件、程式碼與備份檔都會被加密。 - 每個被加密的資料夾會出現名為 **read-me3.txt** 的勒索信，內容導向 Tor 網站。 - IT-Connect 寫到加密使用 ChaCha8，金鑰以 RSA-2048 保護；PBX Science 寫到目前沒有確認可用的免費解密工具。 HKEPC 的報導另外提到，勒索信內含「C3RB3R INSTRUCTIONS」字樣，並引述資安應急團隊的溯源分析，稱這波感染**不是 Windows 電腦中毒後經由 SMB 共享連帶波及**，而是攻擊者直接鎖定暴露在公網上的 NAS 進行全網自動化攻擊。HKEPC 也呼籲所有 Synology NAS 用戶立即斷線。這幾點目前只見於 HKEPC，以下視為該媒體的報導內容。 --- ## 二、說法不一致的地方：該信哪一個？ ### 1. 入侵漏洞：SA-24:20 還是 SA-26:13？ | 說法來源 | 指向的通報 | CVE | 狀態 | | --- | --- | --- | --- | | Synology 官方公告（10-29） | SA-24:20 | 公告未列；SA-24:20 最嚴重者為 CVE-2024-10441 | 官方說法 | | IT-Connect 引述 360（10-29） | SA-26:13 | CVE-2026-13639、CVE-2026-13684 | **尚待官方確認** | IT-Connect 報導，中國資安廠商 360 在 10 月 29 日發布預警，表示自 10 月初起就陸續接到 Synology NAS 的求助，並認為入口是 SA-26:13 的兩個漏洞。SA-26:13 是 Synology 於 2026 年 9 月 18 日發布的 DSM 通報，共列出 8 個漏洞，其中： - **CVE-2026-13684**：SCGI 的輸出編碼問題，CVSS 9.8。 - **CVE-2026-13639**：登入邏輯熵不足，CVSS 9.8。 兩者在官方描述中都是「遠端攻擊者可讀寫任意檔案並造成服務中斷」，官方未提供替代緩解措施。SA-26:13 的修補版本為： | DSM 版本 | 修補版本（或更新） | | --- | --- | | DSM 7.4 | 7.4-90075 | | DSM 7.3 | 7.3.2-86009-4 | | DSM 7.2.2 | 7.2.2-72806-9 | | DSM 7.2.1 | 7.2.1-69057-12 | **實務上不必二選一**：SA-26:13 的修補版號都比 SA-24:20 新，更新到 SA-26:13 列出的版本，兩份通報的漏洞就都補上了。 ### 2. CVSS 是 10.0 還是 9.8？ HKEPC 報導稱這波攻擊利用「2 個 CVSS 10.0 分的遠端程式碼執行漏洞」。查 Synology 官方通報，SA-24:20 的 CVE-2024-10441 與 SA-26:13 的 CVE-2026-13639、CVE-2026-13684 都是 **9.8**；SA-26:13 這兩個漏洞的官方描述是任意檔案讀寫，不是遠端程式碼執行。本文以官方通報為準。 ### 3. 已更新的設備也中招？ PBX Science 引述一支事件應變團隊，有受害者當時已在執行較新的 DSM 7.4.1，團隊尚未排除新的 DSM 漏洞，或套件、外掛、帳密、對外服務被濫用的可能；部分用戶懷疑與容器中執行的 GitLab 有關。報導也強調這是初步發現，多數受害者看起來是漏掉更新。**這代表「只更新 DSM」可能還不夠，套件與對外服務也要一起收斂。** 另外，Synology 在 2026 年 10 月 22 日發布 **SA-26:14 PHP2Shell** 通報，CVE-2026-109618、CVE-2026-109619 均為 CVSS 9.8，影響 Synology Calendar、Mail Station 與 PHP 套件；其中 **PHP 7.3 已停止支援、沒有修補版本**。目前沒有來源證實它與這波勒索攻擊有關，但 NAS 上有裝這些套件的，應該一起處理。我們在 [PHP2Shell 中小企業網站檢查與修補](/blog/php2shell-sme-website-check-patch)一文整理過網站端的做法。 --- ## 三、六個步驟：這週就能開始做 以下步驟適用於任何有 Synology NAS 的公司，特別是把 NAS 當檔案伺服器、又把它當成唯一備份的團隊。 ### 步驟 1：先確認有沒有中招，有就斷網 登入 DSM，用 File Station 檢查共享資料夾有沒有 .L0CK3D 副檔名或 read-me3.txt。PBX Science 的建議是：看到陌生副檔名或勒索信，就把 NAS 斷網。斷網後不要急著重設或重灌，先依 [Synology 知識中心的勒索處置教學](https://kb.synology.com/zh-tw/DSM/tutorial/What_to_do_when_NAS_attacked_by_ransomware)與原廠技術支援判斷下一步，避免把還原與鑑識需要的線索一起清掉。PBX Science 也建議不要付贖金。 ### 步驟 2：收掉公網入口，改用 VPN IT-Connect 建議移除指向 DSM 介面的連接埠轉發，遠端存取改走 VPN。我們的建議更保守一點：**在 DSM 更新完成、確認沒有異常之前，所有對外入口一律先關**，包含路由器上的連接埠轉發、UPnP 自動開的埠，以及 QuickConnect。PBX Science 把 Synology 的中繼服務列為可用的遠端方式之一，但官方目前沒有提供任何緩解措施，攻擊仍在進行中，先全部收回來、更新完再逐一評估要開哪個，風險最低。 ### 步驟 3：更新 DSM，並開自動更新 到「控制台 → 更新與還原」確認版本，更新到上方 SA-26:13 表格列出的版本或更新，再依 Synology 官方建議開啟自動更新。還在 DSM 7.2 以前、無法升到這些分支的機種，要另外評估是否該汰換，至少不能再放在公網上。 ### 步驟 4：更新或移除套件 到套件中心更新 PHP、Mail Station、Synology Calendar；不用的套件、分享連結與服務直接移除。有在 Container Manager 跑 GitLab 等自架服務的，要一起確認版本，並避免對外開放。 ### 步驟 5：檢查帳號與登入紀錄 到 Log Center 檢查近期登入與管理員操作有沒有陌生 IP 或時段；檢查使用者清單有沒有不認得的管理員帳號。依 IT-Connect 與 PBX Science 的建議：停用預設 admin 帳號、使用強且不重複的密碼、開兩步驟驗證與自動封鎖 IP。 ### 步驟 6：備份要有一份勒索軟體碰不到 **NAS 開了 RAID 也不是備份**，這是 IT-Connect 特別強調的一句。具體做法： - 共享資料夾開啟**寫保護（不可變）快照**，並定期確認快照真的有產生。 - 保留**至少一份離線或隔離的備份**，例如定期輪替、平時不接線的外接硬碟，或與 NAS 不共用帳密的異地備份。 - **實際做一次還原測試**。只有成功還原過的備份，才算備份。 **驗收標準**：完成後應能回答三個問題——NAS 現在能不能從公網直接連到登入頁；DSM 與套件是否都在官方修補版本以上；如果今天整台 NAS 被加密，能不能從一份它碰不到的備份，在可接受的時間內還原。三題都能回答清楚，才算補上這次事件暴露的缺口。 ### 中招後怎麼通報 台灣企業可向 [TWCERT/CC](https://www.twcert.org.tw/) 通報，官網首頁有簡易資安事件通報表單，企業資安事件通報信箱為 int_report@cert.org.tw。通報前先保留勒索信、受影響檔案清單、DSM 版本與登入紀錄截圖。 --- ## 四、結語：NAS 是基礎設施，不是放著不管的硬碟 很多中小企業的 NAS 是十年前買的，裝好之後就沒人再登入過。它同時扮演檔案伺服器、備份、相簿、甚至對外分享的角色，一旦被加密，停的不是一台機器，而是整間公司的檔案。這次事件的教訓很直接：**能從公網連到的設備，就要有人負責更新；被當成備份的設備，就不能是唯一一份備份**。 如果你的公司正在盤點 NAS、備份與對外服務，或想在導入 AI 工作流之前先把資料保存與權限整理乾淨，歡迎與優創智能聯繫，我們可以從一張「哪些設備對外開放、誰負責更新、備份放在哪」的清單開始。 --- *免責說明：本文依截至 2026 年 10 月 30 日的公開資料整理，事件仍在發展，入侵漏洞與受影響範圍以 Synology 官方後續公告為準。本文不構成資安鑑識或法律意見；設備已遭加密時，請聯絡原廠技術支援與專業資安人員處理。* --- **參考來源** - Synology，〈Synology urges users to update DSM following ransomware attacks on outdated DSM versions〉，2026-10-29：https://www.synology.com/en-global/company/news/article/C3RB3R - Synology，〈Synology-SA-24:20 DSM (PWN2OWN 2024)〉，2024-11-05 發布、2025-03-28 更新：https://www.synology.com/en-global/security/advisory/Synology_SA_24_20 - Synology，〈Synology-SA-26:13 DSM〉，2026-09-18：https://www.synology.com/en-global/security/advisory/Synology_SA_26_13 - Synology，〈Synology-SA-26:14 PHP2Shell〉，2026-10-22 發布、2026-10-26 更新：https://www.synology.com/en-global/security/advisory/Synology_SA_26_14 - Synology 知識中心，〈如何解決 Synology NAS 遭受勒索軟體攻擊的問題？〉：https://kb.synology.com/zh-tw/DSM/tutorial/What_to_do_when_NAS_attacked_by_ransomware - IT-Connect，〈Synology NAS C3RB3R Ransomware Attack: How to Protect〉，2026-10-29：https://www.it-connect.tech/c3rb3r-ransomware-is-hitting-synology-nas-devices-how-to-protect-yours/ - PBX Science，〈Synology NAS Ransomware Alert: C3RB3R Attacks Hit Unpatched Devices, Update DSM Now〉，2026-10-29：https://pbxscience.com/synology-nas-ransomware-alert-c3rb3r-attacks-hit-unpatched-devices-update-dsm-now/ - HKEPC（Threads），Synology NAS 遭勒索病毒攻擊報導，2026-10：https://www.threads.com/@hkepc/post/DfFNi9Xibnj - TWCERT/CC 台灣電腦網路危機處理暨協調中心：https://www.twcert.org.tw/ --- ## 相關推薦與延伸閱讀 - [AI Agent 的權限邊界怎麼設：企業導入前必須畫好的三條線](/blog/ai-agent-permission-boundary-sandbox)：企業導入 AI Agent 前，權限邊界比模型選型更該先決定。本文用 2026 年 OpenAI–Hugging Face 事件與 Google Gemini - [AI 商業落地是什麼？從試用、試行到正式營運的驗收指南](/blog/ai-business-implementation-taiwan)：AI 商業落地如何從試用走到日常營運？整理需求、資料、試行、交接與持續驗收，區分品質、工時與現金效益，協助企業評估下一步。文中用表格說明工具試用、工作試行、正式 - [AI 導入顧問怎麼選？台灣中小企業比較顧問與 DIY 的成本、風險與時程](/blog/ai-consultant-vs-diy-taiwan)：要自己摸索 AI 工具，還是請 AI 導入顧問？本文用成本、時程、風險與適用情境四個面向比較 DIY 與委託，說明自己做的隱形成本、哪些情況請顧問更值得，以及挑