Internete açık Synology NAS cihazları C3RB3R adlı fidye yazılımıyla şifreleniyor. Saldırganlar DSM'de Eylül'de yamalanan CVSS 9,8 seviyesinde iki kritik açığı kullanıyor.
Çin merkezli güvenlik araştırma ekibi 360'ın 29 Ekim 2026 tarihli raporuna göre, internete açık Synology NAS cihazları C3RB3R adlı bir fidye yazılımı kampanyasının hedefi oldu. Saldırganlar cihazlara Synology'nin DiskStation Manager (DSM) işletim sistemindeki iki kritik açıktan giriyor; şifrelenen dosyalar .L0CK3D uzantısını alıyor ve her klasöre read-me3.txt adlı bir fidye notu bırakılıyor.
Kullanılan açıklar Synology'nin SA-26:13 numaralı güvenlik bülteninde yer alıyor. CVE-2026-13639 oturum açma mantığındaki yetersiz rastgelelikten, CVE-2026-13684 ise SCGI bileşenindeki hatalı çıktı kodlamasından kaynaklanıyor. Synology her ikisini de CVSS 9,8 ile "kritik" derecelendirdi; bültene göre iki açık da uzaktan, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden rastgele dosya okuma-yazma ile servis kesintisine imkân veriyor.
Yama Eylül'de çıktı, saldırılar Ekim'de başladı
Dikkat çeken nokta zamanlama. Synology düzeltmeleri 18 Eylül 2026'da yayımladı; kampanyanın ise Ekim ayının başında hareketlendiği bildiriliyor. Yani ortada bir sıfır gün yok, yamalanmamış cihazlar var. Düzeltmeyi içeren sürümler DSM 7.4-90075, DSM 7.3.2-86009-4, DSM 7.2.2-72806-9 ve DSM 7.2.1-69057-12. Bu sürümlerin altındaki her yapı etkileniyor. Synology bülteninde alternatif bir geçici önlem listelemiyor; tek çözüm güncelleme.
Bir diğer ayrıntı daha önemli: olaylarda DSM 7.4.1 yapısını çalıştıran bir kurban da rapor edildi. Bu da erişimin her zaman bu iki açıktan gelmediğini, güncel olmayan paketler, konteynerler veya çalınmış yönetici parolaları gibi başka yolların da devrede olabileceğini gösteriyor. Şu an için kamuya açık, doğrulanmış ücretsiz bir şifre çözücü bulunmuyor.
KOBİ'ler için neden ayrı bir risk?
NAS cihazları Türkiye'deki küçük ve orta ölçekli işletmelerde çoğunlukla yedekleme hedefi olarak kullanılıyor. İnşaat ofisinin proje dosyaları, acentenin evrak arşivi, kliniğin hasta kayıtları, üretim tesisinin teknik çizimleri genelde tek bir NAS'ta toplanıyor. Fidye yazılımının doğrudan yedeğin durduğu cihazı şifrelemesi, bir olayın "veri kaybı yok, geri döneriz" senaryosundan "elimizde hiçbir kopya kalmadı" senaryosuna geçmesi demek.
İkinci risk hukuki. Kişisel veri barındıran bir NAS'ın şifrelenmesi 6698 sayılı Kanun kapsamında veri ihlalidir ve KVKK'nın bildirim yükümlülüğünü tetikler. Teknik kaybın üzerine idari süreç de eklenir.
Kamer Bilişim olarak ne öneriyoruz?
- NAS yönetim arayüzünü internete kapatın. Modem ve güvenlik duvarındaki port yönlendirmelerini kaldırın, uzaktan erişimi yalnızca VPN üzerinden verin. Bu kampanyanın hedefi doğrudan internete açık cihazlar. Tek başına bu adım saldırı yüzeyini büyük ölçüde kapatır.
- DSM sürümünü kontrol edip güncelleyin. Yukarıdaki dört sürümden birinin altındaysanız cihaz etkileniyor demektir. Güncellemeyi yaptıktan sonra varsayılan admin hesabını devre dışı bırakın, iki adımlı doğrulamayı ve otomatik IP engellemeyi açın.
- Yedeğin yedeğini ayırın. NAS tek kopya olmamalı. 3-2-1 kuralı gereği en az bir kopya cihazdan ve ağdan fiziksel olarak kopuk tutulmalı ya da değiştirilemez (immutable) bulut depolamada saklanmalı. Snapshot koruması açık olsun ve geri dönüş tatbikatını yılda en az bir kez gerçekten yapın.
Cihazınızın etkilenip etkilenmediğinden emin değilseniz, paylaşılan klasörlerde .L0CK3D uzantılı dosya ve read-me3.txt araması yapmak hızlı bir ilk kontroldür. Kurumunuzun NAS yapılandırmasını, yedekleme mimarisini ve uzaktan erişim politikasını birlikte gözden geçirmemizi isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Synology Güvenlik Bülteni SA-26:13 (18 Eylül 2026) ve 360 Fidye Yazılımı Araştırma Ekibi raporu (29 Ekim 2026).