NAS Synology : le protéger du ransomware en 7 étapes

il y a 16 secondes

Par ucyber · Publié le 3 novembre 2026 · Tuto

Votre NAS Synology est-il à jour et invisible depuis Internet ? Si la réponse est non à l’une de ces deux questions, il fait partie des cibles de la vague de ransomware C3RB3R signalée par Synology fin octobre, et les sept étapes ci-dessous permettent de le refermer en une demi-journée de travail.

Ce guide s’adresse aux PME et ETI qui utilisent un NAS Synology comme serveur de fichiers, cible de sauvegarde ou petit serveur applicatif, sans équipe sécurité dédiée. Chaque étape se réalise depuis l’interface DSM, sans outil supplémentaire.

Pourquoi les NAS Synology sont visés en ce moment

Synology a publié une alerte inhabituelle : des attaquants exploitent une vulnérabilité corrigée en décembre 2024 pour viser les appareils dont le système DSM n’a pas été mis à jour. Les fichiers sont chiffrés, renommés avec l’extension .L0CK3D, et une note read-me3.txt réclame l’achat d’un « C3rb3r Decryptor » pour plusieurs milliers de dollars, selon les victimes citées par BleepingComputer.

L’éditeur renvoie vers son bulletin Synology_SA_24_20, qui corrige trois failles : exécution de code arbitraire (CVE-2024-10441), lecture de fichiers (CVE-2024-50629) et écriture de fichiers (CVE-2024-10445). Autrement dit, les correctifs existent depuis près de deux ans : les NAS touchés sont ceux qu’on a oubliés.

Le risque est particulier pour une PME, car le NAS cumule souvent plusieurs rôles : partage de fichiers, cible des sauvegardes des postes, parfois messagerie ou agenda. Un seul équipement compromis peut donc chiffrer à la fois les données de production et leurs copies. D’après Shadowserver, cité par BleepingComputer, plus de 380 000 NAS Synology sont aujourd’hui exposés sur Internet.

Enfin, le CERT-FR a publié le 2 novembre l’avis CERTFR-2026-AVI-1435 sur de nouvelles failles d’exécution de code à distance dans les paquets Mail Station, PHP et Synology Calendar. Deux sujets distincts, une même réponse : mettre à jour et réduire l’exposition.

Étape 1 : inventorier vos NAS et leur version de DSM

Commencez par lister tous les NAS de l’entreprise, y compris ceux installés par un ancien prestataire, dans une agence ou chez un dirigeant pour le télétravail. Ce sont rarement les NAS principaux qui posent problème, mais ceux que plus personne ne surveille.

Utilisez l’outil Synology Assistant ou l’adresse find.synology.com depuis le réseau local pour découvrir les appareils.
Pour chaque NAS, notez dans Panneau de configuration > Infos système le modèle, la version exacte de DSM et la date de la dernière mise à jour.
Repérez les modèles qui ne reçoivent plus de mises à jour : ils doivent être isolés du réseau ou remplacés.

Étape 2 : mettre à jour DSM vers une version corrigée

C’est l’étape qui bloque l’attaque en cours. Le bulletin Synology_SA_24_20 fixe les versions minimales suivantes :

DSM 7.2.2 : version 7.2.2-72806-1 ou supérieure.
DSM 7.2.1 : version 7.2.1-69057-6 ou supérieure.
DSM 7.2 : version 7.2-64570-4 ou supérieure.
DSM 7.1 : version 7.1.1-42962-7 ou supérieure.
DSM 6.2 : version 6.2.4-25556-8 ou supérieure.

Allez dans Panneau de configuration > Mise à jour et restauration, puis installez la dernière version disponible pour votre modèle, pas seulement la version minimale. Faites-le en dehors des heures de travail : le NAS redémarre et les partages sont indisponibles quelques minutes. Si une sauvegarde récente n’existe pas, lancez-en une juste avant.

Étape 3 : couper l’accès à l’interface d’administration depuis Internet

Synology recommande de bloquer l’accès à l’interface web de gestion depuis Internet. Dans la plupart des PME, personne n’a besoin d’administrer le NAS depuis l’extérieur sans passer par le VPN de l’entreprise.

Sur votre box ou votre pare-feu, supprimez toute redirection des ports 5000 et 5001 (interface DSM) vers le NAS.
Dans DSM, désactivez UPnP et la configuration automatique du routeur (Accès externe > Configuration du routeur), qui ouvrent des ports sans prévenir.
Vérifiez si QuickConnect est activé ; désactivez-le si aucun usage métier ne le justifie.
Contrôlez le résultat depuis une connexion extérieure (un smartphone en 4G suffit) : l’adresse publique de l’entreprise ne doit plus afficher la page de connexion DSM.

Si des collaborateurs ont besoin des fichiers à distance, faites passer cet accès par le VPN existant plutôt que par une exposition directe.

Étape 4 : mettre à jour ou désinstaller les paquets inutiles

Les nouvelles failles signalées par le CERT-FR concernent des paquets, pas DSM lui-même. Ouvrez le Centre de paquets et appliquez toutes les mises à jour proposées, en particulier pour Mail Station, PHP et Synology Calendar, selon le bulletin Synology_SA_26_14.

Profitez-en pour désinstaller tout paquet qui ne sert plus : serveur web de test, ancienne messagerie, outil de photos installé « pour voir ». Chaque paquet actif est une surface d’attaque de plus. Les paquets PHP concernés rappellent d’ailleurs la vague de failles PHP de l’automne : notre article sur la faille PHP2Shell et la mise à jour de PHP détaille pourquoi ces composants embarqués sont souvent oubliés.

Étape 5 : durcir les comptes d’administration

Une fois le NAS à jour, les attaquants se rabattent sur les identifiants. Quelques réglages suffisent à fermer cette porte :

Désactivez le compte par défaut admin et créez un compte administrateur nominatif.
Activez la double authentification pour tous les comptes administrateurs (Sécurité > Compte).
Activez le blocage automatique des adresses IP après plusieurs échecs de connexion.
Retirez les droits d’administration aux comptes qui n’en ont pas besoin, y compris ceux d’anciens prestataires.

Étape 6 : protéger les données avec des instantanés immuables

Même un NAS bien configuré peut être compromis. L’objectif est alors de pouvoir restaurer sans payer. Avec le paquet Snapshot Replication, programmez des instantanés réguliers des dossiers partagés et activez l’option d’instantanés immuables disponible sur les modèles compatibles sous DSM 7.2 et ultérieur : pendant la durée choisie, ni un attaquant ni un administrateur ne peut les supprimer.

Ajoutez une copie hors du NAS avec Hyper Backup, vers un second appareil ou un stockage cloud, avec des identifiants distincts de ceux du NAS principal. Testez une restauration complète d’un dossier au moins une fois par trimestre. Pour aller plus loin, notre guide sur la sauvegarde immuable en PME explique comment organiser ces copies.

Étape 7 : activer les mises à jour automatiques et surveiller le NAS

Synology recommande d’activer les mises à jour automatiques de DSM : c’est la mesure qui aurait évité la vague actuelle. Choisissez au minimum l’installation automatique des correctifs de sécurité, sur un créneau nocturne.

Lancez le Conseiller de sécurité intégré à DSM et corrigez les points qu’il signale.
Activez les notifications par e-mail pour les échecs de connexion, les mises à jour disponibles et les alertes de stockage.
Envoyez les journaux du NAS vers votre outil de supervision : un pic de renommages de fichiers ou l’apparition de fichiers .L0CK3D doit déclencher une alerte immédiate.

Un chiffrement de NAS se détecte en quelques minutes lorsque ses journaux sont surveillés en continu : découvrez notre SOC managé 24/7 pour PME et ETI.

Ce qu’il faut retenir

Le ransomware C3RB3R vise les NAS Synology dont DSM n’est pas à jour, via des failles corrigées depuis 2024.
Mettre à jour DSM et couper l’accès à l’interface d’administration depuis Internet bloque l’essentiel du risque.
Les paquets Mail Station, PHP et Calendar ont aussi besoin d’un correctif, selon le CERT-FR.
Des instantanés immuables et une copie hors du NAS évitent de devoir négocier une rançon.

Sources

Renforcez dès maintenant la cybersécurité de votre PME ou ETI avec ucyber.ai.
Évaluez votre niveau de sécurité ou
contactez-nous pour en savoir plus.
Suivez-nous sur LinkedIn.