Synology เตือนด่วน! NAS ถูก C3RB3R Ransomware โจมตี ไฟล์โดนเปลี่ยนนามสกุล .L0CK3D แม้อัปเดต DSM แล้วก็ยังมีข้อสงสัย พบช่องโหว่ใหม่ปี 2026 อีกชุด

Synology ออกประกาศเตือนภัยเร่งด่วนเมื่อวันที่ 29 ตุลาคม 2026 หลังพบการโจมตีอุปกรณ์ NAS บางส่วนด้วย Ransomware ซึ่งเข้ารหัสข้อมูลภายในเครื่องและเรียกค่าไถ่ โดยบริษัทระบุว่าผู้โจมตีกำลังใช้ช่องโหว่ที่ได้รับการแก้ไขไปตั้งแต่เดือนธันวาคม 2024 เพื่อโจมตีอุปกรณ์ที่ยังใช้งาน DSM เวอร์ชันเก่า

อย่างไรก็ตาม ประกาศดังกล่าวกลับสร้างคำถามเพิ่มเติม หลังผู้ใช้งานบางรายบน Reddit ระบุว่าตนเองใช้ DSM 7.2.1-69057 Update 9 ซึ่งติดตั้งเมื่อวันที่ 29 มกราคม 2026 แล้ว แต่ยังตกเป็นเหยื่อของ Ransomware ที่เปลี่ยนนามสกุลไฟล์เป็น .L0CK3D

ประเด็นนี้ทำให้เกิดข้อสงสัยว่า การโจมตีทั้งหมดเกิดจากช่องโหว่เก่าตามที่ Synology ระบุจริงหรือไม่ เพราะมีรายงานจากนักวิจัยด้านความปลอดภัยอีกกลุ่มที่เชื่อมโยงการโจมตี C3RB3R กับช่องโหว่ DSM อีก 2 รายการ ซึ่งได้รับการแก้ไขไปเมื่อเดือนกันยายน 2026

สิ่งที่ผู้ใช้ Synology ต้องระวังคือ การอัปเดตแก้ช่องโหว่ปี 2024 ไม่ได้หมายความว่า NAS จะได้รับการป้องกันจากช่องโหว่ที่ค้นพบในปี 2026 โดยอัตโนมัติ

Synology แจ้งพบการโจมตี NAS เรียกค่าไถ่

ในประกาศอย่างเป็นทางการเมื่อวันที่ 29 ตุลาคม 2026 Synology ระบุว่า ตรวจพบผู้โจมตีกำลังใช้ช่องโหว่ที่ได้รับการแก้ไขมาตั้งแต่เดือนธันวาคม 2024 เพื่อเจาะอุปกรณ์ที่ยังใช้ DSM เวอร์ชันเก่า ก่อนดำเนินการเข้ารหัสข้อมูลและเรียกค่าไถ่จากเจ้าของเครื่อง

บริษัทแนะนำให้ผู้ใช้ที่ยังใช้งานระบบเวอร์ชันที่มีช่องโหว่รีบอัปเดต DSM ทันที พร้อมเปิดใช้งาน Automatic Updates เพื่อให้ระบบได้รับแพตช์ความปลอดภัยอย่างต่อเนื่อง

Synology อ้างอิงประกาศความปลอดภัย Synology-SA-24:20 ซึ่งครอบคลุมช่องโหว่หลายรายการ โดยหนึ่งในนั้นคือ CVE-2024-10441 มีคะแนนความรุนแรง CVSS 9.8 จาก 10 อยู่ในระดับ Critical เป็นช่องโหว่ที่เกี่ยวข้องกับการจัดการข้อมูลเอาต์พุตใน System Plugin Daemon ของ DSM และ BeeStation Manager ซึ่งอาจเปิดทางให้ผู้โจมตีจากระยะไกลสั่งประมวลผลโค้ดที่เป็นอันตรายได้

อย่างไรก็ตาม ต้องแยกให้ชัดว่า ประกาศข่าวฉุกเฉินของ Synology ระบุเพียงว่าผู้โจมตีใช้ช่องโหว่ที่ได้รับการแก้ไขในเดือนธันวาคม 2024 และอ้างอิงไปยัง SA-24:20 โดยไม่ได้ระบุหมายเลข CVE-2024-10441 ในข้อความแถลงข่าวโดยตรง

เวอร์ชันที่แก้ไขช่องโหว่ CVE-2024-10441 แล้ว

ตามประกาศ Synology-SA-24:20 บริษัทได้ออกแพตช์แก้ไขช่องโหว่ในผลิตภัณฑ์หลายกลุ่มตั้งแต่ปลายปี 2024 โดยมีเวอร์ชันขั้นต่ำที่เกี่ยวข้องดังนี้

สำหรับ DSMUC มีแพตช์แยกตามประกาศความปลอดภัยของผลิตภัณฑ์ โดยผู้ใช้ควรตรวจสอบเวอร์ชันที่ตรงกับอุปกรณ์จากเว็บไซต์ Synology โดยตรง

ที่สำคัญ ตัวเลขเหล่านี้เป็นระดับขั้นต่ำสำหรับช่องโหว่ในประกาศปี 2024 ไม่ใช่การรับประกันว่าเป็นเวอร์ชันที่ปลอดภัยที่สุดในปัจจุบัน เพราะยังมีช่องโหว่ที่ได้รับการเปิดเผยภายหลังอีกหลายรายการ

ปริศนา Update 9 ทำไมยังถูกโจมตี?

หนึ่งในกรณีที่ถูกพูดถึงบน Reddit คือผู้ใช้ที่ระบุว่า NAS ของตนเองใช้ DSM 7.2.1-69057 Update 9 ซึ่งติดตั้งตั้งแต่วันที่ 29 มกราคม 2026 แต่ยังถูกโจมตีด้วยมัลแวร์ที่เพิ่มนามสกุล .L0CK3D ให้กับไฟล์

หากพิจารณาเฉพาะ CVE-2024-10441 เวอร์ชัน Update 9 นั้นใหม่กว่า Update 6 ซึ่งเป็นระดับขั้นต่ำที่ Synology ระบุว่าแก้ไขช่องโหว่นี้แล้ว จึงเกิดคำถามว่าการโจมตีดังกล่าวใช้ช่องทางอื่นหรือไม่

คำอธิบายหนึ่งที่เป็นไปได้มาจากช่องโหว่ที่ Synology เปิดเผยในเดือนกันยายน 2026 ซึ่งผู้ใช้งาน Update 9 ยังไม่ได้รับการแก้ไขตามเกณฑ์ของประกาศฉบับใหม่

นั่นหมายความว่าแม้เครื่องจะผ่านการอัปเดตช่องโหว่เก่าแล้ว แต่ยังอาจมีความเสี่ยงจากช่องโหว่ใหม่ที่เกิดขึ้นภายหลังได้

พบช่องโหว่ใหม่อีก 2 รายการ คะแนนรุนแรง 9.8 เท่ากัน

เมื่อวันที่ 18 กันยายน 2026 Synology เผยแพร่ประกาศ Synology-SA-26:13 เพื่อแก้ไขช่องโหว่ DSM จำนวน 8 รายการ โดยมี 2 รายการที่ได้รับคะแนน CVSS 9.8 ได้แก่

CVE-2026-13639 เป็นช่องโหว่ Insufficient Entropy ในกระบวนการ Login ของ DSM ซึ่งอาจเปิดทางให้ผู้โจมตีจากระยะไกลอ่านหรือเขียนไฟล์ภายในระบบได้

CVE-2026-13684 เป็นช่องโหว่ Improper Encoding หรือการจัดการข้อมูลเอาต์พุตที่ไม่เหมาะสมในส่วน SCGI ของ DSM ซึ่งอาจเปิดช่องให้ผู้โจมตีจากระยะไกลอ่านหรือเขียนไฟล์ และทำให้บริการหยุดทำงานได้

Synology ระบุเวอร์ชันขั้นต่ำที่แก้ไขช่องโหว่ชุดนี้ไว้ดังนี้

หากเทียบกับกรณีผู้ใช้ที่ใช้ DSM 7.2.1-69057 Update 9 จะพบว่ายังต่ำกว่าเกณฑ์ Update 12 ที่ใช้แก้ไขช่องโหว่ชุดเดือนกันยายน 2026

360 ชี้ C3RB3R ใช้ช่องโหว่ชุดใหม่ในการโจมตี NAS

ความน่าสนใจอยู่ที่รายงานจากทีมต่อต้าน Ransomware ของบริษัท 360 ประเทศจีน ซึ่งเผยแพร่เมื่อวันที่ 29 ตุลาคม 2026 โดยระบุว่าทีมงานได้รับแจ้งเหตุโจมตี NAS ของ Synology ตั้งแต่ต้นเดือนตุลาคม และจากการวิเคราะห์ตัวอย่างมัลแวร์พบว่าเป็น C3RB3R ซึ่งเป็นมัลแวร์ในตระกูล Cerber

ทีม 360 เชื่อมโยงการโจมตีที่ตรวจสอบกับช่องโหว่ CVE-2026-13639 และ CVE-2026-13684 โดยพบว่ามัลแวร์สามารถเข้ารหัสไฟล์และเพิ่มนามสกุล .L0CK3D เข้าไปในชื่อไฟล์ พร้อมสร้างข้อความเรียกค่าไถ่ชื่อ read-me3.txt ภายในโฟลเดอร์ที่ได้รับผลกระทบ

อย่างไรก็ตาม รายงานจาก Synology และ 360 เป็นการอธิบายจากคนละชุดข้อมูล จึงยังไม่สามารถยืนยันได้ว่าผู้โจมตีทุกกรณีใช้ช่องโหว่ชุดเดียวกันทั้งหมด หรือการโจมตีทุกเครื่องมีเส้นทางเหมือนกัน

ผู้ใช้ Synology ควรทำอย่างไรตอนนี้?

สำหรับผู้ที่ยังไม่พบความผิดปกติบน NAS ควรรีบตรวจสอบ DSM และอัปเดตเป็นเวอร์ชันล่าสุดที่รองรับอุปกรณ์ โดยไม่ควรหยุดอยู่เพียงระดับแพตช์ขั้นต่ำของช่องโหว่ปี 2024

นอกจากนี้ควรลดความเสี่ยงจากการเข้าถึงผ่านอินเทอร์เน็ต โดยเฉพาะการเปิดพอร์ตหน้า DSM สู่สาธารณะโดยตรง ควรปิดบริการที่ไม่จำเป็น จำกัด IP ที่เข้าถึงได้ ใช้ VPN สำหรับการจัดการจากภายนอก เปิดใช้งาน MFA และตรวจสอบการตั้งค่า UPnP รวมถึง IPv6 บนเราเตอร์ด้วย

สำหรับการสำรองข้อมูล ควรแยกสำเนา Backup ออกจาก NAS หลัก ทั้งในรูปแบบ Offline Backup หรือระบบสำรองข้อมูลที่ไม่อนุญาตให้บัญชีเดียวกันแก้ไขหรือลบข้อมูลทั้งหมดได้

ส่วนผู้ที่พบว่าไฟล์ถูกเปลี่ยนนามสกุลเป็น .L0CK3D หรือพบไฟล์ read-me3.txt ควรดำเนินการดังนี้

1. ตัดการเชื่อมต่อ NAS จากเครือข่ายทันที เพื่อหยุดการเข้ารหัสและจำกัดการแพร่กระจาย

2. เก็บรักษา Log ไฟล์ตัวอย่าง และหลักฐานที่เกี่ยวข้อง อย่าเพิ่งรีเซ็ตหรือติดตั้งระบบใหม่

3. อย่ารีบปิดหรือรีบูตเครื่องโดยไม่ประเมินหลักฐานใน RAM เพราะข้อมูลที่อาจช่วยในการตรวจสอบและกู้คืนอาจสูญหาย

4. ให้ผู้เชี่ยวชาญด้าน Incident Response ตรวจสอบและวางแผนกู้คืนจาก Snapshot หรือ Backup ที่ยังไม่ถูกโจมตี

การอัปเดต DSM หลังจากถูกเข้ารหัสแล้วไม่ได้ทำให้ไฟล์กลับมาเป็นปกติโดยอัตโนมัติ และไม่ได้ยืนยันว่าผู้โจมตีถูกกำจัดออกจากระบบหมดแล้ว

สถานการณ์ยังไม่ชัดเจน อย่าเพิ่งเชื่อว่าอัปเดตแล้วปลอดภัย 100%

สิ่งที่น่ากังวลคือยังมีรายงานผู้เสียหายบางรายที่อ้างว่าใช้งาน DSM เวอร์ชันใหม่แล้ว แต่กลับพบการโจมตี ขณะเดียวกันข้อมูลจากทีมรักษาความปลอดภัยก็ชี้ว่ามีช่องโหว่ใหม่ที่อาจเกี่ยวข้องกับการโจมตี C3RB3R

สมาคมความปลอดภัยสารสนเทศไต้หวัน (TWISA) จึงแนะนำให้ผู้ดูแลระบบตรวจสอบทั้งประกาศ Synology-SA-24:20 และ SA-26:13 พร้อมทบทวนช่องทางการเข้าถึง NAS เพราะยังไม่สามารถฟันธงได้ว่าทุกกรณีใช้ช่องโหว่เดียวกัน

สรุป: Synology ยืนยันว่ามีการโจมตี NAS เพื่อเข้ารหัสข้อมูลและเรียกค่าไถ่ โดยชี้ไปยังช่องโหว่ที่ได้รับการแก้ไขตั้งแต่ปี 2024 แต่รายงานจาก 360 ยังเชื่อมโยง C3RB3R กับช่องโหว่ใหม่อีกสองรายการที่ถูกแก้ไขในเดือนกันยายน 2026 ผู้ใช้ DSM 7.2.1-69057 Update 9 จึงไม่ควรคิดว่าตนเองได้รับการป้องกันครบถ้วนแล้ว เพราะยังต่ำกว่าเกณฑ์แพตช์ของช่องโหว่ชุดใหม่ ทางที่ดีที่สุดคืออัปเดต DSM ล่าสุดที่รองรับ จำกัดการเข้าถึงจากภายนอก และแยกข้อมูลสำรองออกจากระบบหลัก

ที่มา: Synology