NAS Synology bị tấn công hàng loạt qua CVE-2024-10441: ransomware C3RB3R nhắm vào máy chưa cập nhật DSM

Trả lời nhanh

• Ba lỗ hổng CVE-2024-10441, CVE-2024-50629 và CVE-2024-10445 trong hệ điều hành DSM của NAS Synology đang bị khai thác thực tế để cài ransomware C3RB3R lên các máy chạy DSM cũ chưa cập nhật.
• CVE-2024-10441 là nguy hiểm nhất (CVSS 9.8/10): lỗ hổng thực thi mã từ xa (RCE) không cần đăng nhập — kẻ tấn công chiếm quyền điều khiển NAS mà không cần bất kỳ tài khoản nào.
• Dấu hiệu nhiễm C3RB3R: file trên NAS bị đổi đuôi thành .L0CK3D và xuất hiện file ghi chú tiền chuộc read-me3.txt.
• Cả ba lỗ hổng đều đã có bản vá từ cuối năm 2024 (advisory Synology-SA-24:20). Máy bị tấn công là máy chưa nâng cấp DSM lên các mốc đã vá: 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7, 6.2.4-25556-8 hoặc BeeStation OS 1.1-65374 trở lên.
• Việc cần làm ngay: kiểm tra và cập nhật DSM lên bản mới nhất của nhánh đang dùng, bật cập nhật tự động, không phơi giao diện quản trị DSM ra Internet, và giữ bản sao lưu ngoại tuyến (offline) theo nguyên tắc 3-2-1.

CVE và RCE không cần đăng nhập là gì?

CVE (Common Vulnerabilities and Exposures) là mã định danh quốc tế cho từng lỗ hổng bảo mật đã được công bố, ví dụ CVE-2024-10441. RCE (Remote Code Execution) là loại lỗ hổng cho phép kẻ tấn công thực thi mã tùy ý trên thiết bị nạn nhân từ xa. Khi một lỗ hổng RCE đồng thời "không cần xác thực" (unauthenticated — không yêu cầu tài khoản, mật khẩu hay đăng nhập trước), nó trở thành kịch bản nguy hiểm nhất: bất kỳ ai tiếp cận được thiết bị qua mạng đều có thể chiếm quyền điều khiển, như trường hợp của CVE-2024-10441 trên NAS Synology.

Chuyện gì đang xảy ra với NAS Synology?

Ba lỗ hổng nói trên thuộc advisory Synology-SA-24:20, bắt nguồn từ cuộc thi Pwn2Own 2024, được Synology công bố tháng 11/2024 và vá xong vào khoảng tháng 12/2024. Nói cách khác, đây không phải lỗ hổng mới — bản vá đã tồn tại gần hai năm.

Vấn đề nằm ở chỗ rất nhiều NAS vẫn đang chạy các bản DSM cũ chưa được cập nhật. Theo tổng hợp của tác giả bài gốc, từ cuối tháng 10/2026, các lỗ hổng này đang bị lợi dụng thực tế trong một làn sóng tấn công: kẻ tấn công quét tìm các NAS Synology còn hở lỗ hổng, khai thác CVE-2024-10441 để xâm nhập và cài ransomware có tên C3RB3R. Dữ liệu trên NAS bị mã hóa, phần mở rộng file bị đổi thành .L0CK3D, kèm file read-me3.txt đòi tiền chuộc.

Đây là mẫu hình tấn công quen thuộc: tội phạm mạng không cần lỗ hổng 0-day đắt đỏ — chúng chỉ cần những lỗ hổng đã có bản vá nhưng hàng loạt thiết bị ngoài kia chưa chịu cập nhật.

CVE-2024-10441 nguy hiểm như thế nào?

CVE-2024-10441 được chấm 9.8/10 điểm CVSS, mức nghiêm trọng (Critical) cao nhất trong ba lỗ hổng, với vector tấn công AV:N/AC:L/PR:N/UI:N — tấn công qua mạng, độ phức tạp thấp, không cần quyền và không cần tương tác của người dùng.

Về kỹ thuật, đây là lỗi mã hóa/thoát đầu ra không đúng cách (Improper Encoding or Escaping of Output, CWE-116) trong daemon plugin hệ thống. Theo mô tả tóm tắt của bài gốc, kẻ tấn công gửi request đặc biệt tới endpoint web API (thường là /webapi/entry.cgi), lợi dụng tham số account để tiêm biến môi trường (như LD_PRELOAD, LD_DEBUG_OUTPUT…) vào tiến trình plugin chạy với quyền cao, từ đó thực thi shell/script độc hại.

Hậu quả thực tế: đây chính là lỗ hổng bị dùng để triển khai ransomware C3RB3R. Chỉ cần giao diện/API của NAS tiếp cận được từ Internet và DSM chưa vá, kẻ tấn công có thể vào thẳng mà không cần đánh cắp mật khẩu của bất kỳ ai.

Hai lỗ hổng CVE-2024-50629 và CVE-2024-10445 làm được gì?

CVE-2024-50629 (CVSS 5.3, mức Medium) cũng là lỗi mã hóa đầu ra không đúng cách, nhưng nằm trong thành phần webapi. Nó cho phép kẻ tấn công từ xa, không cần đăng nhập, đọc được một số file hạn chế trên hệ thống — dạng rò rỉ thông tin (information disclosure). Tự thân lỗ hổng này không chiếm được máy, nhưng thường được dùng kết hợp với các lỗ hổng khác để thu thập thông tin trước khi tấn công sâu hơn.

CVE-2024-10445 (CVSS 4.3 theo Synology; một số nguồn NVD chấm 5.3) là lỗi kiểm chứng chứng chỉ không đúng cách (Improper Certificate Validation, CWE-295) trong chức năng cập nhật. Nó cho phép kẻ tấn công ở vị trí trung gian trên mạng lân cận (man-in-the-middle, vector AV:A — Adjacent Network) ghi một số file hạn chế thông qua quy trình cập nhật. Mức nguy hiểm thấp hơn hai lỗ hổng trên vì đòi hỏi vị trí mạng gần nạn nhân.

Lỗ hổng	Điểm CVSS	Loại lỗ hổng	Điều kiện khai thác	Hậu quả
CVE-2024-10441	9.8 (Critical)	Mã hóa đầu ra không đúng cách (CWE-116) trong system plugin daemon	Từ xa qua mạng, không cần đăng nhập	Thực thi mã tùy ý (RCE) — lỗ hổng chính dùng để cài ransomware C3RB3R
CVE-2024-50629	5.3 (Medium)	Mã hóa đầu ra không đúng cách trong webapi	Từ xa qua mạng, không cần đăng nhập	Đọc một số file hạn chế, rò rỉ thông tin
CVE-2024-10445	4.3 (theo Synology) / 5.3 (theo NVD)	Kiểm chứng chứng chỉ không đúng cách (CWE-295) trong chức năng update	Kẻ tấn công ở mạng lân cận (man-in-the-middle)	Ghi một số file hạn chế qua quy trình cập nhật

Phiên bản DSM nào bị ảnh hưởng và cần cập nhật lên bản nào?

Mọi bản DSM thấp hơn mốc đã vá của nhánh tương ứng đều nằm trong diện rủi ro. Bảng dưới đây là các phiên bản tối thiểu đã chứa bản vá cho advisory SA-24:20:

Sản phẩm / nhánh DSM	Phiên bản đã vá tối thiểu
DSM 7.2.2	7.2.2-72806-1 trở lên
DSM 7.2.1	7.2.1-69057-6 trở lên
DSM 7.2	7.2-64570-4 trở lên
DSM 7.1	7.1.1-42962-7 trở lên
DSM 6.2	6.2.4-25556-8 trở lên (chủ yếu cho CVE-2024-10445)
BeeStation OS (BSM)	1.1-65374 trở lên

Một lưu ý quan trọng cho thời điểm hiện tại: ngoài bản vá SA-24:20, người dùng nên cập nhật lên bản mới nhất của nhánh DSM đang dùng — các advisory sau này như SA-26:13 (tháng 9/2026) tiếp tục vá thêm những lỗ hổng khác, và một máy chỉ "đủ mới" cho năm 2024 vẫn có thể bị nhắm tới vì những lỗ hổng mới hơn. Với các dòng máy đời cũ bị giới hạn ở nhánh DSM thấp (ví dụ chỉ lên được DSM 7.1), vẫn cần nâng lên đúng mốc đã vá của nhánh đó, đồng thời siết chặt việc truy cập từ Internet như khuyến nghị ở phần dưới.

Người dùng NAS Synology cần làm gì ngay bây giờ?

1. Kiểm tra phiên bản DSM hiện tại: vào Control Panel → Update & Restore trên NAS và đối chiếu với bảng phiên bản đã vá ở trên.
2. Cập nhật ngay lên bản mới nhất có sẵn cho nhánh DSM của máy — đừng dừng ở mốc tối thiểu của SA-24:20 nếu đã có bản mới hơn.
3. Bật cập nhật tự động (Automatic updates) để các bản vá bảo mật quan trọng được cài kịp thời thay vì phụ thuộc vào việc nhớ kiểm tra thủ công.
4. Không phơi giao diện quản trị DSM ra Internet: tắt các port forwarding không cần thiết; khi cần truy cập từ xa, ưu tiên VPN hoặc QuickConnect với các lớp bảo vệ bật đầy đủ.
5. Sao lưu theo nguyên tắc 3-2-1 và giữ ít nhất một bản ngoại tuyến: ransomware trên NAS sẽ vô nghĩa nếu dữ liệu quan trọng còn một bản sao offline mà kẻ tấn công không chạm tới được.

Vì sao lỗ hổng đã vá từ năm 2024 đến 2026 vẫn bị khai thác hàng loạt?

Ba lý do chính đứng sau làn sóng tấn công này. Thứ nhất, NAS là thiết bị "cài rồi quên": nhiều máy được cấu hình một lần rồi chạy liên tục nhiều năm, không ai theo dõi thông báo bảo mật. Thứ hai, tâm lý "đang chạy ổn thì đừng động vào" khiến không ít quản trị viên và người dùng trì hoãn cập nhật vì sợ gián đoạn — trong khi chính sự trì hoãn đó mới là rủi ro lớn nhất. Thứ ba, nhiều NAS được mở cổng ra Internet để truy cập từ xa cho tiện, vô tình đặt thiết bị vào tầm quét tự động của tội phạm mạng trên toàn cầu.

Bài học rút ra không chỉ dành cho người dùng Synology: với bất kỳ thiết bị mạng nào — NAS, router, camera, firewall — bản vá bảo mật chỉ phát huy tác dụng khi nó thực sự được cài đặt. Một lỗ hổng đã có bản vá gần hai năm vẫn có thể là cửa ngõ cho ransomware, nếu thiết bị của bạn nằm trong nhóm chưa cập nhật.

Câu hỏi thường gặp

Làm sao biết NAS Synology của tôi có đang bị nhiễm ransomware C3RB3R không? Dấu hiệu đặc trưng được ghi nhận: file trên NAS bị đổi phần mở rộng thành .L0CK3D và xuất hiện file read-me3.txt chứa ghi chú đòi tiền chuộc. Nếu thấy các dấu hiệu này, hãy ngắt NAS khỏi mạng ngay và xử lý theo quy trình ứng cứu sự cố, đừng tiếp tục dùng máy như bình thường.

NAS của tôi không mở cổng ra Internet thì có bị tấn công qua CVE-2024-10441 không? Khả năng thấp hơn rất nhiều, vì lỗ hổng này khai thác qua đường mạng tới API web của NAS. Tuy nhiên, "không mở cổng" cần được kiểm chứng thật — nhiều người dùng đã bật QuickConnect, UPnP hoặc port forwarding từ trước mà quên mất. Và CVE-2024-10445 lại khai thác từ mạng lân cận, nên cập nhật bản vá vẫn là việc bắt buộc.

Kiểm tra và cập nhật phiên bản DSM ở đâu? Trong giao diện quản trị DSM: Control Panel → Update & Restore. Tại đây hệ thống hiển thị phiên bản hiện tại và bản cập nhật mới nhất khả dụng cho dòng máy của bạn, đồng thời cho phép bật cập nhật tự động.

Máy của tôi đời cũ, chỉ lên được DSM 7.1 thì có được vá không? Có — nhánh DSM 7.1 có mốc đã vá là 7.1.1-42962-7 trở lên. Hãy nâng lên bản cao nhất mà dòng máy hỗ trợ, đồng thời hạn chế tối đa việc truy cập NAS từ Internet (ưu tiên VPN) và duy trì bản sao lưu ngoại tuyến, vì các dòng máy cũ sẽ ngày càng ít nhận được bản vá mới.

Đã bị mã hóa dữ liệu rồi, có nên trả tiền chuộc cho C3RB3R không? Trả tiền không đảm bảo lấy lại được dữ liệu và còn tiếp tay cho tội phạm. Hướng xử lý được khuyến nghị là khôi phục từ bản sao lưu ngoại tuyến sạch, sau khi đã cập nhật DSM lên bản đã vá và rà soát lại toàn bộ cấu hình truy cập từ xa.

---

Nguồn tham khảo: bài viết của tác giả Tri Van Ho trong nhóm Synology Club trên Facebook, đăng ngày 05/11/2026, tổng hợp từ advisory Synology-SA-24:20. Thông tin về làn sóng khai thác cuối tháng 10/2026 được dẫn lại theo tổng hợp của tác giả bài gốc.