【ISMS-漏洞/警訊】全球爆發 Synology NAS 毀滅性災情！行政與實驗室 NAS 面臨勒索威脅，請立即切斷外網！

重大資安警訊｜Synology NAS 勒索攻擊與系統更新通知

ISMS｜資安漏洞／勒索攻擊警訊｜緊急通報

Synology NAS 資安警訊：請立即檢查、隔離風險並更新系統

近期有 Synology NAS 遭 C3RB3R 勒索軟體攻擊的事件回報。請各單位窗口轉知全校同仁與教師，立即盤點所管理或使用的 Synology（群暉科技）NAS，確認 DSM 與套件更新狀態，並檢查是否對外開放連線。

緊急盤點與更新NAS 設備管理人員／系統承辦人／全校教職員工
緊急提醒：若 NAS 已出現檔案異常加密、勒索訊息、未知管理帳號、異常登入或不明程序，請立即將設備與網路隔離，並通報資訊及資安人員；不要自行重灌、重置或刪除日誌。若目前未發現入侵跡象，請先關閉不必要的外部連線與連接埠轉發，再依原廠公告確認適用版本並儘速更新。完成更新後，暫時維持外部連線關閉，待完成檢查及風險評估後再決定是否恢復服務。

一、事件概要與風險說明

依 2026 年 10 月下旬公開資訊，部分 Synology NAS 使用者回報設備遭 C3RB3R（亦有資料寫作 Cerber）勒索軟體攻擊，受害情形包括檔案遭加密、勒索訊息出現，以及備份資料可能同時受到影響。相關資安社群與媒體持續彙整案例，個別設備的實際入侵途徑仍須依設備紀錄及鑑識結果確認。

台灣資訊安全協會於 2026 年 10 月 29 日發布事件整理；Synology 亦於 10 月 29 日發布相關提醒，建議使用者檢查 DSM 更新狀態並參考官方安全公告。

重要觀念：本次勒索攻擊回報、DSM 舊版漏洞（例如 Synology-SA-26:13、Synology-SA-24:20）及 PHP2Shell（Synology-SA-26:14）是需要分別檢查的安全議題，目前公開資訊不足以將所有受害案例歸因於單一漏洞或單一攻擊鏈。

公告用語說明：社群回報與媒體報導屬事件線索，不等同原廠已確認所有設備均受同一漏洞影響。請依 NAS 型號、DSM 版本、套件清單、對外服務設定及日誌進行個別判斷。

二、高風險設備與檢查項目

請優先檢查下列對外連線與管理設定
檢查項目風險情境建議處理
公網 IP／外部可連線NAS 管理介面或服務可直接由網際網路連入。暫時關閉外部存取，僅保留必要的內部管理連線。
路由器連接埠轉發例如 DSM 管理常用的 TCP 5000／5001，或其他服務埠被轉發至 NAS。檢查路由器、防火牆及 UPnP 設定，移除非必要的轉發規則。
QuickConnect／DDNS啟用遠端存取服務，使 NAS 可從外部連線。在完成更新及安全檢查前，暫停非必要的遠端存取功能。
DSM 與套件版本DSM 或 PHP 相依套件未套用原廠安全更新。依各型號及 DSM 分支查閱原廠公告與更新中心。
備份與快照備份硬碟長期掛載、快照或備份帳號可被同一設備存取。保護既有快照及離線備份，確認備份端未受影響再執行還原或同步。

上述為優先檢查項目，並非代表只要啟用其中任一功能就必然遭受攻擊；是否受影響仍須依設備實際設定與原廠公告判斷。

三、緊急處置與系統更新方式

第一階段：立即阻斷外部風險

  1. 若已出現疑似遭駭跡象，立即隔離 NAS
    將設備自網路隔離；必要時由資訊人員協助切斷網路連線。避免設備繼續加密資料或影響其他系統。保留設備現況及可取得的日誌，勿先行重置或重灌。
  2. 關閉不必要的外部連線
    檢查路由器、防火牆與 NAS 設定，停用非必要的連接埠轉發、UPnP、QuickConnect、DDNS 及其他遠端存取服務。若無法判斷，請由網管或維運廠商協助。
  3. 確認內部網路曝險範圍
    檢查 NAS 與其他伺服器、個人電腦、共享資料夾及備份設備間的連線，避免疑似受感染設備持續存取其他重要資料。

第二階段：檢查設備與保護備份

  1. 檢查 DSM 日誌與異常帳號
    檢視異常登入、未知管理帳號、權限變更、不明排程工作、可疑程序及檔案大量異動等情形。若懷疑已遭入侵，請交由資安人員進行調查並保留證據。
  2. 保護既有快照與備份
    確認快照、Hyper Backup、外接硬碟及異地備份是否可正常讀取。對備份端採取隔離與權限保護，避免將可能已遭加密或感染的 NAS 資料同步覆寫至乾淨備份。
  3. 強化帳號與服務設定
    停用不必要帳號及服務；若無業務需求，關閉 SSH、Telnet 等遠端管理服務。停用預設 admin 帳號（確認另有可用管理帳號後再執行），並為管理帳號啟用多因素驗證及唯一強密碼。

第三階段：依原廠公告完成更新

  1. 確認 NAS 型號及 DSM 完整版本
    記錄設備型號、DSM 主版本與更新號、已安裝套件及目前網路暴露情形。注意自動更新顯示「最新」不代表已跨越主要 DSM 版本升級，請主動核對原廠支援與更新資訊。
  2. 依型號與分支安裝適用更新
    透過 DSM 更新功能或 Synology 官方下載中心取得對應韌體；如設備疑似已遭入侵，應先由資安人員評估處置及證據保存方式，不宜逕自更新覆蓋現場。
  3. 同步更新受影響套件
    檢查 PHP、Web Station、WordPress、Joomla、phpMyAdmin、Calendar、Mail Station 等套件是否適用原廠安全公告，並透過套件中心更新或依官方建議停用。
  4. 更新後先維持外部連線關閉
    確認 DSM 與套件版本、帳號權限、日誌及備份狀態；完成風險評估前，不要急著重新開放公網連線。後續是否恢復遠端服務，應依原廠最新公告及校內資安／網管單位評估辦理。

四、Synology 官方安全公告與更新資訊

Synology 近期事件說明查看原廠 C3RB3R 相關說明（另開新視窗）
Synology-SA-26:13｜DSM查看 DSM 安全公告與修補版本（另開新視窗）
Synology-SA-24:20｜DSM查看舊版 DSM 漏洞公告（另開新視窗）
Synology-SA-26:14｜PHP2Shell查閱原廠安全公告清單（另開新視窗）
Synology 官方下載中心依 NAS 型號查詢 DSM 更新（另開新視窗）
Synology 安全中心持續關注原廠資安資訊（另開新視窗）

五、其他資安資訊與事件分析

社群貼文、論壇回報及媒體分析可作為風險線索，但個案攻擊途徑與受影響範圍仍應以原廠公告、可信任資安研究及設備鑑識結果為準。

六、各單位 NAS 設備盤點檢核清單

  • 已盤點單位內所有 Synology NAS 設備、型號、管理人及存放位置。
  • 已確認 DSM 主版本、更新號及已安裝套件版本。
  • 已檢查公網 IP、路由器連接埠轉發、UPnP、QuickConnect 與 DDNS 設定。
  • 已關閉非必要外部連線及遠端管理服務。
  • 已檢查異常登入、未知帳號、檔案加密及其他可疑活動。
  • 已確認快照、異地備份及離線備份的完整性，避免受感染資料覆寫乾淨備份。
  • 已依原廠公告完成 DSM 與相關套件更新。
  • 更新後仍維持外部連線關閉，待資安與網管人員確認後再評估恢復。

七、請協助轉知與追蹤

請各單位窗口務必轉知所有同仁、老師及 NAS 設備管理人員：

如有使用 Synology（群暉科技）NAS，請立即盤點設備、檢查 DSM 與套件更新狀態，並關閉不必要的外部連線。若有疑似遭入侵或資料遭加密情形，應立即隔離設備並通報資訊及資安單位。

完成更新後，請先維持外部連線關閉，持續關注 Synology 官方安全公告；待確認修補狀態、設備安全及備份完整性後，再由權責單位評估是否恢復對外服務。

本頁依截至 2026 年 10 月 30 日可取得之原廠公告、資安團體資訊及媒體報導整理。DSM 與套件修補版本可能因型號、區域及分支不同而異，請以 Synology 官方公告及下載中心顯示的適用資訊為準。本公告不取代正式事件應變程序。