Synology NAS cihazlarına fidye yazılımı: eski DSM sürümleri hedefte

Synology, C3RB3R adlı fidye yazılımının NAS cihazlarını hedef alan saldırılarının sürdüğü konusunda müşterilerini uyardı. BleepingComputer'ın 2 Kasım 2026 tarihli haberine göre saldırganlar, güncel olmayan DiskStation Manager (DSM) sürümlerindeki bir zafiyeti kullanarak cihazdaki dosyaları şifreliyor. Şifrelenen dosyalar .L0CK3D uzantısı alıyor ve klasörlere read-me3.txt adında, kurbanı Tor üzerindeki bir ödeme portalına yönlendiren bir fidye notu bırakılıyor. Portalda "C3rb3r Decryptor" adlı çözücü için binlerce dolar isteniyor.

Saldırının giriş noktası konusunda kaynaklar ayrışıyor. Synology, istismar edilen açığın Aralık 2024'te yamalandığını belirtip Synology-SA-24:20 numaralı duyuruya yönlendiriyor; bu duyuru kapsamındaki CVE-2024-10441 uzaktan kod çalıştırmaya izin veriyor. Güvenlik şirketi 360 ise incelediği olayları, Synology'nin Eylül 2026'da Synology-SA-26:13 ile yamaladığı CVE-2026-13639 ve CVE-2026-13684 zafiyetlerine bağlıyor; IT-Connect'in aktardığına göre bu iki açığın CVSS puanı 9.8 ve kimlik doğrulaması gerektirmiyor. Gridinsoft'un değerlendirmesine göre bu çelişki yeni bir sıfır gün açığının ya da tamamen güncel DSM'in hedef alındığının kanıtı değil; her olayın kendi günlükleri üzerinden incelenmesi gerekiyor.

Neden önemli?

NAS cihazları küçük ve orta ölçekli işletmelerde iki işi birlikte görür: hem ortak dosya sunucusudur hem de yedeklerin tutulduğu yerdir. Bu yüzden şifrelenen bir NAS, aynı anda hem çalışan verisini hem de kurtarma planını devre dışı bırakır. BleepingComputer'ın Shadowserver verilerine dayandırdığı rakama göre internete açık 380.000'den fazla Synology NAS cihazı bulunuyor. Bunların ne kadarının yamasız olduğu bilinmiyor, ancak yönetim arayüzünü doğrudan internete açmak saldırganın işini kolaylaştıran ortak hata olarak öne çıkıyor.

İkinci bir sorun, DSM'in güncelleme davranışı. Tom's Hardware'in 29 Ekim 2026 tarihli haberinde, saldırıya uğrayan bir DS918+ cihazında arayüzün sistemi "güncel" gösterdiği, buna rağmen kritik güncellemelerin kurulu olmadığı aktarıldı. Yani panelde yeşil tik görmek, yamanın yapıldığı anlamına gelmiyor.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de inşaat ofisleri, acente ve denizcilik firmaları, klinikler ve muhasebe büroları proje dosyalarını, tarama arşivlerini ve veri tabanı yedeklerini sıklıkla bir NAS üzerinde tutuyor. Saha ve ev erişimi için de çoğu zaman modem üzerinde port yönlendirme açılıyor. Bu iki alışkanlık bir arada, saldırının aradığı tabloyu oluşturuyor.

Olayın bir de mevzuat boyutu var. Şifrelenen NAS üzerinde kimlik, iletişim veya sağlık verisi gibi kişisel veriler varsa, bu bir kişisel veri ihlalidir. 6698 sayılı Kanun'un 12. maddesi kapsamında veri sorumlusunun ihlali en kısa sürede Kişisel Verileri Koruma Kurulu'na bildirmesi gerekiyor. Yani teknik kurtarma süreciyle birlikte bildirim takviminin de işlemeye başladığını unutmamak gerekiyor.

Kamer Bilişim olarak ne öneriyoruz?

• DSM'i ve paketleri elle kontrol edip güncelleyin, otomatik güncellemeyi açın. Panelin "güncel" yazmasına güvenmeyin; Synology'nin SA-24:20 ve SA-26:13 duyurularındaki sürüm numaralarıyla karşılaştırın. Kullanılmayan paketleri kaldırın.
• Yönetim arayüzünü internetten kapatın. Modemdeki port yönlendirmelerini kaldırın, uzaktan erişimi VPN üzerinden verin. Varsayılan admin hesabını devre dışı bırakın, iki adımlı doğrulamayı ve otomatik IP engellemeyi etkinleştirin.
• Yedeği NAS'ın dışına taşıyın. RAID bir yedek değildir. Paylaşılan klasörlerde yazmaya karşı korumalı anlık görüntü (snapshot) alın ve en az bir kopyayı cihazdan bağımsız, çevrimdışı ya da değiştirilemez (immutable) bir ortamda tutun. Geri dönüş testini de takviminize ekleyin.

Cihazınız zaten şifrelendiyse açmayın ve sıfırlamayın: ağdan izole edin, fidye notunu, örnek şifreli dosyaları, DSM sürümünü ve günlükleri saklayın. Kurumunuzdaki NAS, yedekleme ve uzaktan erişim yapısını birlikte gözden geçirmek ya da bir olay sonrası inceleme için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: BleepingComputer, IT-Connect, Gridinsoft, Tom's Hardware