Synology: attacchi ransomware contro i NAS rimasti su versioni di DSM non aggiornate dal 2024

Synology segnala che alcuni attaccanti sfruttano una vulnerabilità di DSM corretta alla fine del 2024 per cifrare i dati dei NAS con versioni obsolete e chiedere un riscatto. Il produttore rimanda al suo avviso Synology-SA-24:20 e chiede a tutti i clienti interessati di aggiornare DSM subito e di attivare gli aggiornamenti automatici.

Cosa è successo

In un comunicato datato 29 ottobre 2026, Synology ha spiegato di aver osservato attaccanti sfruttare una vulnerabilità corretta a dicembre 2024 contro NAS che eseguono ancora vecchie versioni di DSM, il suo sistema operativo. Lo scopo degli attacchi è cifrare i dati conservati sul dispositivo ed estorcere un riscatto. Il produttore rimanda all’avviso Synology-SA-24:20, pubblicato per la prima volta a novembre 2024 dopo il concorso Pwn2Own 2024. Il comunicato non indica la falla esatta sfruttata, la famiglia di ransomware né il numero di vittime.

Chi è coinvolto

L’avviso SA-24:20 riunisce tre vulnerabilità. La più grave, CVE-2024-10441, valutata 9,8 in CVSS 3.1, consente a un attaccante remoto senza account di eseguire codice tramite il servizio dei plugin di sistema. CVE-2024-50629 (5,3) permette di leggere alcuni file tramite l’API web e CVE-2024-10445 (4,3) consente a un attaccante sulla stessa rete di scrivere file limitati attraverso il meccanismo di aggiornamento. Synology non precisa quale sia sfruttata. Sono vulnerabili le versioni precedenti a DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 e 6.2.4-25556-8. In pratica, ogni NAS non aggiornato da quasi due anni è un bersaglio, a maggior ragione se la sua interfaccia è raggiungibile da Internet.

Cosa fare ora

1. Verificate la versione di DSM di ogni NAS, compresi quelli dimenticati nelle sedi periferiche: Pannello di controllo, poi Centro informazioni.
2. Aggiornate alla versione corretta del vostro ramo o, meglio, all’ultima disponibile per il vostro modello.
3. Attivate gli aggiornamenti automatici, come raccomanda Synology, perché le correzioni di sicurezza non restino in sospeso.
4. Non esponete più l’interfaccia DSM (porte 5000 e 5001 per impostazione predefinita) direttamente su Internet: usate una VPN e limitate gli accessi con il firewall.
5. Cercate tracce di compromissione: account amministratore sconosciuti, nuove attività pianificate, file rinominati o cifrati, voci insolite nei log.
6. Conservate una copia dei dati fuori dal NAS, scollegata o immutabile, e provate un ripristino: un NAS non è il backup di sé stesso.

Il nostro parere

Un NAS è un server come gli altri, ma spesso resta in un armadio senza un responsabile né una routine di aggiornamento. Una patch disponibile da due anni protegge solo i dispositivi su cui è stata installata: questi apparati devono rientrare nello stesso ciclo di aggiornamento e monitoraggio del resto dell’infrastruttura.

Fonti

• Synology — Synology urges users to update DSM following ransomware attacks on outdated DSM versions
• Synology — Synology-SA-24:20 DSM (PWN2OWN 2024)
• The Hacker News — Synology NAS Devices Targeted in Ransomware Attacks Exploiting Patched DSM Flaw

Come scegliamo, verifichiamo e scriviamo le nostre analisi →