Synology NAS 遭 CVE-2024-10441 大规模攻击：C3RB3R 勒索软件专挑未更新 DSM 的设备

快速回答

• CVE-2024-10441、CVE-2024-50629 和 CVE-2024-10445 这三个漏洞位于 Synology NAS 的 DSM 操作系统中，正被实际利用，在仍运行旧版未打补丁 DSM 的设备上安装 C3RB3R 勒索软件。
• CVE-2024-10441 最危险（CVSS 9.8/10）：这是一个无需登录的远程代码执行（RCE）漏洞——攻击者不需要任何账户就能控制整台 NAS。
• 感染 C3RB3R 的特征：NAS 上的文件被改名为 .L0CK3D 后缀，并出现名为 read-me3.txt 的勒索说明文件。
• 这三个漏洞早在 2024 年底就已修复（公告 Synology-SA-24:20）。被攻击的设备，都是没有把 DSM 升级到已修复版本的设备：7.2.2-72806-1、7.2.1-69057-6、7.2-64570-4、7.1.1-42962-7、6.2.4-25556-8，或 BeeStation OS 1.1-65374 及以上。
• 立即要做的事：检查 DSM 版本并更新到所在分支的最新版本，开启自动更新，不要把 DSM 管理界面暴露在互联网上，并按 3-2-1 原则保留一份离线备份。

什么是 CVE？什么是无需登录的 RCE？

CVE（Common Vulnerabilities and Exposures）是每个公开安全漏洞的国际编号，例如 CVE-2024-10441。RCE（Remote Code Execution，远程代码执行）指攻击者可以从远程在受害设备上执行任意代码的漏洞类型。当一个 RCE 漏洞同时“无需身份验证”（unauthenticated——不需要账户、密码或事先登录）时，它就成为最危险的情形：任何能在网络上访问到该设备的人都能夺取控制权，Synology NAS 上的 CVE-2024-10441 正是如此。

Synology NAS 正在发生什么？

这三个漏洞同属公告 Synology-SA-24:20，源自 Pwn2Own 2024 比赛；Synology 于 2024 年 11 月发布该公告，并于 2024 年 12 月前后完成修复。换句话说，这并非新漏洞——补丁已经存在近两年。

问题在于，大量 NAS 仍在运行从未更新过的旧版 DSM。据原帖作者汇总，自 2026 年 10 月底起，这些漏洞正被实际利用，形成一波攻击浪潮：攻击者扫描仍存在漏洞的 Synology NAS，利用 CVE-2024-10441 入侵，并部署名为 C3RB3R 的勒索软件。NAS 上的数据被加密，文件后缀被改成 .L0CK3D，并留下 read-me3.txt 勒索说明。

这是典型的攻击模式：网络犯罪分子不需要昂贵的 0-day 漏洞——他们只需要那些早已有补丁、但大量设备从未安装补丁的漏洞。

CVE-2024-10441 有多危险？

CVE-2024-10441 的 CVSS 评分为 9.8/10，属于最高等级的严重（Critical），也是三个漏洞中最高的一个；其攻击向量为 AV:N/AC:L/PR:N/UI:N——可通过网络利用、复杂度低、无需任何权限、无需用户交互。

从技术上看，这是系统插件守护进程中的输出编码/转义不当漏洞（CWE-116）。据原帖的概要说明，攻击者向 Web API 端点（通常是 /webapi/entry.cgi）发送特制请求，滥用 account 参数，将环境变量（如 LD_PRELOAD、LD_DEBUG_OUTPUT 等）注入高权限插件进程，从而执行恶意 Shell 命令或脚本。

其现实后果是：这正是被用来投放 C3RB3R 勒索软件的漏洞。只要 NAS 的 Web API 能从互联网访问、且 DSM 未打补丁，攻击者无需窃取任何人的密码就能直接进入。

CVE-2024-50629 和 CVE-2024-10445 能做什么？

CVE-2024-50629（CVSS 5.3，中危）同样是输出编码不当漏洞，但位于 webapi 组件。它允许远程的、无需登录的攻击者读取系统上的部分受限文件——属于信息泄露问题。它本身无法夺取设备，但通常会与其他漏洞组合使用，在深入攻击之前收集信息。

CVE-2024-10445（Synology 评分为 CVSS 4.3；部分 NVD 来源评为 5.3）是更新功能中的证书验证不当漏洞（CWE-295）。它允许位于相邻网络中间人位置（攻击向量 AV:A，即相邻网络）的攻击者，通过更新流程写入部分受限文件。由于需要靠近受害者的网络位置，其危险程度低于前两个漏洞。

漏洞	CVSS 评分	漏洞类型	利用条件	后果
CVE-2024-10441	9.8（严重）	系统插件守护进程中的输出编码/转义不当（CWE-116）	可通过网络远程利用，无需登录	任意代码执行（RCE）——安装 C3RB3R 勒索软件所利用的主要漏洞
CVE-2024-50629	5.3（中危）	webapi 中的输出编码/转义不当	可通过网络远程利用，无需登录	读取部分受限文件，信息泄露
CVE-2024-10445	4.3（Synology 评分）/ 5.3（NVD 评分）	更新功能中的证书验证不当（CWE-295）	攻击者需位于相邻网络（中间人）	通过更新流程写入部分受限文件

哪些 DSM 版本受影响？应该更新到哪个版本？

所有低于所在分支已修复里程碑的 DSM 版本都处于风险之中。下表列出了包含 SA-24:20 修复的最低版本：

产品 / DSM 分支	最低已修复版本
DSM 7.2.2	7.2.2-72806-1 或更高
DSM 7.2.1	7.2.1-69057-6 或更高
DSM 7.2	7.2-64570-4 或更高
DSM 7.1	7.1.1-42962-7 或更高
DSM 6.2	6.2.4-25556-8 或更高（主要针对 CVE-2024-10445）
BeeStation OS (BSM)	1.1-65374 或更高

对当前时点的一个重要提醒：除 SA-24:20 的补丁外，用户应更新到所在 DSM 分支的最新版本——后续公告如 SA-26:13（2026 年 9 月）还修复了更多漏洞；一台只是“对 2024 年足够新”的设备，仍可能被更新的漏洞盯上。对于受限于较低 DSM 分支的老机型（例如最高只能到 DSM 7.1），仍需升级到该分支的已修复里程碑版本，同时按下方建议收紧互联网访问。

Synology NAS 用户现在应该立即做什么？

1. 检查当前 DSM 版本：在 NAS 上打开“控制面板 → 更新和还原”，与上方的已修复版本表核对。
2. 立即更新到所在分支的最新可用版本——如果已有更新的版本，不要止步于 SA-24:20 的最低要求。
3. 开启自动更新，让重要的安全补丁及时安装，而不是依赖有人记得手动检查。
4. 不要把 DSM 管理界面暴露在互联网上：关闭不必要的端口转发；确需远程访问时，优先使用 VPN，或使用开启完整防护的 QuickConnect。
5. 按 3-2-1 原则备份，并至少保留一份离线副本：只要重要数据还有一份攻击者碰不到的离线备份，NAS 上的勒索软件就失去了意义。

为什么 2024 年就打了补丁的漏洞，到 2026 年还在被大规模利用？

这波攻击背后有三个主要原因。第一，NAS 是那种“装好就忘”的设备：许多设备配置一次后连续运行多年，没人关注安全公告。第二，“能跑就别动”的心态让许多管理员和用户因害怕中断而拖延更新——而这种拖延本身才是最大的风险。第三，许多 NAS 为了方便远程访问而把端口开向互联网，无意中把自己放到了全球网络犯罪分子自动扫描的范围之内。

这一教训不只适用于 Synology 用户：对任何网络设备——NAS、路由器、摄像头、防火墙——安全补丁只有真正被安装后才起作用。一个近两年前就已修复的漏洞，只要你的设备属于从未更新的那一批，仍可能成为勒索软件的入口。

常见问题

如何判断我的 Synology NAS 是否感染了 C3RB3R 勒索软件？ 已报告的特征是：NAS 上的文件被改名为 .L0CK3D 后缀，并出现 read-me3.txt 勒索说明文件。若发现这些迹象，应立即将 NAS 与网络断开，并按事件响应流程处理，不要继续照常使用该设备。

我的 NAS 没有向互联网开放端口，还会被 CVE-2024-10441 攻击吗？ 可能性要低得多，因为该漏洞是通过网络访问 NAS 的 Web API 来利用的。但“没有开放端口”需要在实际配置中核实——许多用户早先启用了 QuickConnect、UPnP 或端口转发却已经忘记。此外，CVE-2024-10445 是从局域网一侧利用的，因此安装补丁仍然必不可少。

在哪里查看和更新 DSM 版本？ 在 DSM 管理界面中打开“控制面板 → 更新和还原”。这里会显示当前版本以及适用于你机型的最新更新，也是开启自动更新的位置。

我的机型较老，最高只能到 DSM 7.1，有补丁吗？ 有——DSM 7.1 分支的已修复里程碑是 7.1.1-42962-7 及以上。请升级到你的机型所支持的最高版本，同时尽量减少 NAS 的互联网访问（优先使用 VPN），并保持离线备份，因为老机型获得新补丁的频率会越来越低。

数据已经被加密了，应该向 C3RB3R 支付赎金吗？ 付款并不能保证拿回数据，还会助长犯罪。推荐的做法是：在把 DSM 更新到已修复版本、并全面复查远程访问配置之后，从干净的离线备份恢复数据。

---

来源：Tri Van Ho 于 2026 年 11 月 5 日在 Facebook“Synology Club”群组发表的帖子，内容汇编自公告 Synology-SA-24:20。关于 2026 年 10 月底利用浪潮的信息，引自原帖作者的汇总。