Cosa è successo

Il 29 ottobre 2026 Synology ha pubblicato un comunicato in cui avverte che alcuni attaccanti stanno sfruttando una vulnerabilità già corretta a dicembre 2024 per cifrare i dati dei NAS che eseguono versioni obsolete di DiskStation Manager (DSM). Lo stesso giorno il fornitore cinese di sicurezza 360 ha diffuso la propria analisi: dall'inizio di ottobre il suo servizio anti-ransomware ha ricevuto un numero crescente di richieste di aiuto da utenti colpiti da una variante di Cerber battezzata C3RB3R.

Il malware cifra i file con ChaCha8, una chiave e un nonce diversi per ciascun file, e protegge il materiale di recupero con una chiave pubblica RSA-2048 incorporata. Visita ricorsivamente le directory saltando 27 cartelle di sistema e alcuni eseguibili e script, così il NAS resta in funzione mentre la cifratura prosegue. I file cifrati ricevono l'estensione .L0CK3D (con uno zero; alcune segnalazioni parlano di .LOCK3D) e in ogni cartella compare una nota, read-me3.txt, che rimanda a una pagina di pagamento su rete Tor e propone una decifratura di prova. Rinominare i file non annulla la cifratura.

Il punto ancora aperto: quale falla viene usata?

Qui le fonti non coincidono, ed è giusto dirlo con chiarezza invece di scegliere la versione più comoda.

  • Synology parla di un problema corretto a dicembre 2024 e rimanda al bollettino Synology-SA-24:20, senza indicare un CVE preciso nel comunicato. Una ricostruzione di settore lo associa alla CVE-2024-10441 (CVSS 9.8, esecuzione di codice remoto senza autenticazione), per la quale esiste un proof of concept pubblico che abusa del campo "username" della pagina di login.
  • 360 attribuisce invece gli incidenti da lei osservati alle CVE-2026-13639 e CVE-2026-13684 (entrambe CVSS 9.8, sfruttabili da remoto senza autenticazione, con lettura e scrittura arbitraria di file), descritte nel bollettino Synology-SA-26:13 del 18 settembre 2026, che riguarda DSM 7.4, 7.3 e 7.2.

Nessuna delle due fonti stabilisce se si tratti delle stesse vittime o dello stesso percorso d'ingresso. Può darsi che ci siano più vie in uso, oppure che campioni diversi siano stati analizzati. La conseguenza pratica, però, è identica: chi non ha aggiornato DSM è esposto a prescindere da quale delle due ricostruzioni sia corretta, e Synology precisa che per le falle di settembre non esistono mitigazioni alternative all'aggiornamento.

Versioni minime corrette

Per le falle del bollettino di settembre le build corrette indicate dalle fonti sono: DSM 7.4-90075, DSM 7.3.2-86009-4, DSM 7.2.2-72806-9 e DSM 7.2.1-69057-12. I rami più vecchi non sono coperti da quella tabella: se il vostro NAS è fermo a una versione antecedente, verificate sul sito Synology se per il vostro modello esiste ancora un aggiornamento e, in caso contrario, trattatelo come un dispositivo da isolare o sostituire. Il 29 ottobre Synology ha inoltre aggiornato diversi pacchetti per le falle PHP2Shell (bollettino SA-26:14): ne abbiamo parlato in PHP2Shell, ora c'è la patch.

Cosa significa per le aziende italiane

I NAS Synology sono diffusissimi in studi professionali, piccole imprese, studi medici, comuni e scuole: spesso li ha installati un fornitore anni fa, con il port forwarding verso l'interfaccia DSM per "comodità" e senza che nessuno ne abbia più curato gli aggiornamenti. È esattamente il profilo di rischio descritto dalle fonti: dispositivo esposto, versione vecchia, backup salvato sullo stesso apparato.

Tre ragionamenti pratici da consulente:

  1. Il NAS non è un "backup", è un bersaglio. Se i backup stanno sul NAS compromesso, o su una condivisione montata in permanenza, vengono cifrati insieme ai dati. Una copia che il ransomware può raggiungere dalla rete non è una copia affidabile. Serve almeno una copia offline o immutabile.
  2. L'inventario degli asset è il vero problema. Molte PMI non sanno quanti NAS hanno né quali siano raggiungibili da Internet. Per i soggetti NIS2 la gestione degli asset e delle vulnerabilità fa parte delle misure di sicurezza richieste; un NAS dimenticato con DSM obsoleto è il caso da manuale di lacuna che emerge in una verifica.
  3. Se ci sono dati personali, scatta anche il GDPR. La cifratura dei dati da parte di un ransomware è una violazione di disponibilità: va valutata come data breach e, se c'è rischio per gli interessati, notificata al Garante entro 72 ore dalla scoperta (art. 33 GDPR), documentando comunque l'evento nel registro delle violazioni. Se i dati sono stati anche esfiltrati, la valutazione cambia in peggio. Per i soggetti NIS2 si aggiungono le notifiche al CSIRT Italia con le tempistiche previste dalla normativa.

Cosa fare subito

  • Verificare ogni NAS Synology presente (anche quelli "dimenticati" in filiale o a casa di un collaboratore) e controllare la versione di DSM in Pannello di controllo > Aggiornamento e ripristino.
  • Aggiornare DSM almeno alle build indicate sopra, attivare gli aggiornamenti automatici e aggiornare o rimuovere i pacchetti non usati (PHP, Mail Station, Calendar e simili).
  • Togliere DSM da Internet: eliminare i port forward verso le porte di amministrazione e usare una VPN per l'accesso remoto.
  • Rafforzare gli account: disattivare l'account admin predefinito, attivare l'autenticazione a due fattori e il blocco automatico degli IP dopo tentativi falliti.
  • Proteggere i backup: snapshot con protezione dalla scrittura sulle cartelle condivise e almeno una copia offline o in un sistema separato con credenziali diverse. Il RAID non è un backup.
  • Se trovate file .L0CK3D o read-me3.txt: isolate il NAS dalla rete (spegnetelo solo se non riuscite a isolarlo), conservate la nota, i campioni, la versione DSM, l'elenco dei pacchetti e i log, avviate la valutazione di data breach e contattate il supporto Synology o un incident responder. Non pagate e non ripristinate prima di aver individuato e chiuso il punto d'ingresso: altrimenti la reinfezione è probabile.

Nota metodologica

Il comunicato di Synology non elenca modelli specifici né una CVE; i dettagli sulle falle di settembre provengono dall'analisi di 360 e dal bollettino citato dall'autorità di Singapore CSA. Aggiorneremo l'articolo se Synology chiarirà il vettore d'ingresso.