Synology, ransomware contro i NAS non aggiornati: patch urgenti

🛡️ Executive Summary

• Synology conferma attacchi ransomware contro dispositivi NAS che utilizzano versioni obsolete di DiskStation Manager.
• Gli attaccanti sfruttano una vulnerabilità corretta nel dicembre 2024. Il produttore rimanda all’advisory Synology-SA-24:20, che comprende tre CVE.
• Gli amministratori devono verificare la versione DSM, installare gli aggiornamenti disponibili e controllare lo stato dei backup.

Synology ha confermato attacchi ransomware contro dispositivi NAS che utilizzano versioni non aggiornate di DiskStation Manager (DSM), il sistema operativo impiegato per gestire archiviazione, condivisione dei file e servizi di rete. L’allarme, pubblicato il 29 ottobre 2026, riguarda lo sfruttamento di una vulnerabilità corretta nel dicembre 2024, ma ancora presente nei sistemi che non hanno ricevuto gli aggiornamenti di sicurezza. Gli attaccanti puntano a cifrare i dati e chiedere un riscatto, trasformando dispositivi utilizzati come archivi domestici e aziendali in potenziali bersagli. Il produttore invita a installare immediatamente le patch disponibili, richiamando il bollettino Synology-SA-24:20, relativo a vulnerabilità individuate durante Pwn2Own 2024.

Synology conferma gli attacchi ransomware: nel mirino i NAS con DSM obsoleto

Nel comunicato ufficiale pubblicato il 29 ottobre, Synology riferisce di avere individuato attori malevoli impegnati a sfruttare una vulnerabilità già corretta per compromettere dispositivi che eseguono versioni obsolete del sistema operativo. L’obiettivo dichiarato degli attacchi è la cifratura delle informazioni con successiva richiesta di riscatto, una minaccia particolarmente rilevante per i NAS, che spesso concentrano backup, archivi documentali, fotografie e dati operativi di intere organizzazioni. Il comunicato non identifica una specifica famiglia ransomware, non indica il numero dei dispositivi coinvolti e non fornisce informazioni sulla distribuzione geografica delle vittime. Non sarebbe quindi corretto parlare di una campagna concentrata sull’Italia o attribuirla a un gruppo criminale già conosciuto. Il fatto documentato è più circoscritto ma significativo: una vulnerabilità risolta quasi due anni fa viene nuovamente sfruttata su sistemi rimasti senza patch, evidenziando quanto il ritardo negli aggiornamenti possa trasformare un archivio di rete in un punto d’ingresso per il cybercrime. Il problema richiama i rischi già emersi con PolarEdge, malware utilizzato per compromettere dispositivi QNAP, Cisco, Asus e Synology, sebbene non risultino collegamenti documentati tra le due attività.

Leggi anche: Vulnerabilità critiche corrette in Synology, Triofox e SAP

Synology-SA-24:20: tre vulnerabilità e una RCE con CVSS 9.8

L’avviso richiama Synology-SA-24:20, bollettino pubblicato originariamente il 5 novembre 2024 e successivamente aggiornato per documentare le correzioni distribuite nelle diverse versioni di DSM. La vulnerabilità più grave tra quelle elencate è CVE-2024-10441, classificata critica con CVSS 9.8, che riguarda una gestione impropria della codifica dei dati nel componente system plugin daemon e può consentire a un attaccante remoto di eseguire codice arbitrario. Lo stesso advisory comprende CVE-2024-50629, relativa alla lettura non autorizzata di file attraverso il componente WebAPI, con CVSS 5.3, e CVE-2024-10445, associata a una validazione impropria dei certificati e alla possibilità di modificare determinati file, con CVSS 4.3. Si tratta di condizioni tecniche differenti, che non devono essere considerate automaticamente equivalenti.

Synology non precisa quale delle tre CVE venga effettivamente utilizzata nella campagna ransomware annunciata il 29 ottobre. Il riferimento all’advisory identifica la famiglia di vulnerabilità e le correzioni pertinenti, ma non costituisce una conferma che gli attaccanti stiano sfruttando specificamente CVE-2024-10441. L’origine del bollettino risale alle attività di Pwn2Own 2024, nelle quali ricercatori indipendenti avevano dimostrato difetti di sicurezza sui dispositivi di archiviazione. Le correzioni sono state distribuite progressivamente, comprese quelle rilasciate nel dicembre dello stesso anno. La riattivazione del rischio attraverso sistemi non aggiornati mostra come la disponibilità di una patch non coincida con la sua effettiva installazione.

Quali versioni DSM devono essere aggiornate immediatamente?

Il bollettino Synology individua le release correttive minime per le diverse generazioni del sistema operativo. Per DSM 7.2.2 viene indicata la build 7.2.2-72806-1 o successiva, mentre DSM 7.2.1 richiede almeno 7.2.1-69057-6. Gli utenti ancora su DSM 7.2 devono raggiungere la 7.2-64570-4, quelli su DSM 7.1 la 7.1.1-42962-7, mentre per la famiglia DSM 6.2 la versione di riferimento è 6.2.4-25556-8. Questi numeri rappresentano le soglie di correzione indicate dall’advisory storico: non significano che siano necessariamente le release più recenti disponibili nell’ottobre 2026. Per questo motivo, la scelta operativa raccomandata è installare l’ultima versione supportata per il proprio modello, verificando la compatibilità attraverso gli strumenti ufficiali.

Gli amministratori possono controllare la build installata da Pannello di controllo > Aggiornamento e ripristino > Aggiornamento DSM, consultando la versione corrente e le eventuali release disponibili. La documentazione Synology sugli aggiornamenti raccomanda inoltre di abilitare l’installazione automatica degli aggiornamenti importanti, evitando che le correzioni critiche rimangano in sospeso per mesi. Per i dispositivi che non ricevono più nuove versioni, occorre verificare il supporto effettivo e valutare la sostituzione o l’isolamento dalla rete pubblica. È lo stesso problema affrontato nell’analisi sulle vulnerabilità dei NAS D-Link non più supportati, dove la disponibilità del dispositivo non corrispondeva più alla garanzia di ricevere correzioni di sicurezza.

Backup e accessi remoti: perché aggiornare il NAS potrebbe non bastare

La funzione di un NAS rende particolarmente pericoloso un attacco ransomware. Se il dispositivo conserva sia i documenti operativi sia le copie di sicurezza, la cifratura delle cartelle condivise può compromettere contemporaneamente i dati originali e i backup accessibili attraverso lo stesso sistema. L’installazione della patch riduce l’esposizione alla vulnerabilità segnalata, ma non ripristina automaticamente file già cifrati e non esclude che un dispositivo precedentemente compromesso contenga account non autorizzati o configurazioni alterate. Per questo motivo, dopo un sospetto incidente, l’aggiornamento deve essere accompagnato da verifiche sui log, sugli accessi amministrativi, sui processi in esecuzione e sull’integrità delle copie di sicurezza, evitando di cancellare elementi utili alla ricostruzione tecnica.

In assenza di dettagli sul vettore effettivamente utilizzato dagli attaccanti, non è possibile affermare che la campagna dipenda necessariamente dall’esposizione diretta della console DSM su Internet. Resta comunque prudente limitare le porte pubblicate, evitare inoltri non indispensabili dal router e utilizzare collegamenti remoti protetti, applicando autenticazione multifattore e privilegi minimi agli account. Per la continuità operativa, è essenziale disporre di backup separati e verificati, preferibilmente con copie offline o protette da meccanismi che impediscano modifiche e cancellazioni da parte di un account compromesso. Queste misure non sostituiscono la patch, ma riducono le conseguenze di un’eventuale intrusione.

Continua con: I signori del ransomware: gruppi RaaS, tattiche di infiltrazione e geopolitica dell’estorsione

L’allarme Synology e il costo degli aggiornamenti rimandati

La comunicazione del 29 ottobre evidenzia un problema ricorrente nella gestione della sicurezza: il tempo trascorso dalla pubblicazione di una patch non riduce necessariamente il valore della vulnerabilità per gli attaccanti. Al contrario, quando il difetto è noto e documentato, i dispositivi rimasti su versioni obsolete possono essere individuati e colpiti anche a distanza di anni. Nel caso Synology, il produttore ha già corretto le vulnerabilità richiamate dall’advisory e non annuncia una nuova zero-day. La minaccia nasce dalla persistenza di installazioni vulnerabili, non dall’assenza di un rimedio tecnico. Questo distingue l’attuale allarme dalle campagne che sfruttano difetti ancora sconosciuti ai produttori e rende il controllo degli aggiornamenti un intervento immediatamente praticabile. Per aziende, professionisti e utenti domestici italiani che utilizzano i NAS come archivio centralizzato, la priorità è verificare lo stato reale del dispositivo, non limitarsi alla convinzione che un sistema funzionante sia anche sicuro. Synology non ha comunicato numeri sulle vittime, richieste di riscatto o compromissioni confermate sul territorio italiano, ma l’assenza di dati geografici non rende meno rilevante l’avviso. La differenza, in questo caso, è concreta: una vulnerabilità già corretta può continuare a esporre i dati soltanto perché l’aggiornamento non è stato installato.