高危漏洞直攻底層 檔案加密成 .L0CK3D
【立即斷線⚠️】悲報 !! 大量 Synology NAS 一夜之間遭到勒索病毒攻陷，不少用戶登入 DSM 查看 File Station 時，發現不論是共享資料夾內的企業核心研發文件、資料庫映像檔，抑或日常備份檔，皆被加密為「.L0CK3D.」或「.L0CK3D」副檔名；各層目錄與系統根目錄下亦被寫入檔名為 read-me3.txt（內含 C3RB3R INSTRUCTIONS 字樣）的勒索信。HKEPC 呼籲所有 Synology NAS 用戶立即斷線「保平安」。
根據資安應急團隊對多宗 DSM 受害現場的逆向溯源分析，此波大規模感染並非源自傳統 Windows 電腦中毒後經由 SMB 共享協定連帶波及，而是黑客針對暴露於公網的 Synology NAS 設備，利用 2 個 CVSS 10.0 分的遠端程式碼執行（RCE）高危漏洞展開全網自動化攻擊。
◾Docker 容器滿分漏洞潛伏 Crond 排程任務︰許多企業習慣在 NAS 的 Container Manager（Docker）中自行架設 GitLab 程式碼庫、Confluence 知識庫或開源 Web 服務，並將連接埠映射至外部網絡。GitLab 日前接連爆出未授權 RCE 漏洞（如 CVE-2026-110264、CVE-2026-97229）。黑客透過自動化腳本攻入未修補的容器後，藉由高權限容器掛載目錄或宿主機逃逸缺陷，將惡意拉取腳本悄悄寫入 Linux 底層的 crond 定時排程中靜默潛伏。這也解釋了為何部分網管即便剛升級容器，設備仍在排程引爆時遭到鎖死。
◾Synology 原生套件「PHP2Shell」未授權漏洞（Synology-SA-26:14）︰官方日前發布代號為 Synology-SA-26:14 的安全性公告，證實波及全球的 PHP 核心 RCE 漏洞（CVE-2026-109618 與 CVE-2026-109619，俗稱 PHP2Shell）直接影響旗下 MailStation、Synology Calendar 等原生套件。黑客無須取得任何帳號密碼，即可由外部網絡連接埠直搗未更新套件的 DSM 底層，植入加密負載。
目前已得悉，當該款勒索程式於 Linux 底層啟動後，會從根目錄 / 展開多線程巡檢，遍歷所有掛載的儲存空間（如 /volume1、/volume2）。凡是存放於同台機器可寫入目錄下的本機備份（包括未啟用多版本鎖定或異地隔離的 Hyper Backup 目錄），均會被視為普通檔案一併加密鎖定。由於其底層採用高強度 RSA-4096 結合 AES / ChaCha20 演算法，在數學層面上絕不可能依靠一般算力暴力破解，坊間亦不存在所謂的「通用免費解密工具」。
如果你的 Synology NAS 目前還未被攻破，應立即依序執行以下防禦步驟：
◾實體拔除網絡線（立即斷網）：立刻拔除 NAS 所有網絡線，或由路由器端切斷對外連接與內部網絡 SMB 共享，防止黑客進一步操控，並阻斷背景潛在的加密行程。
◾停用容器與排程，切勿異動檔案：若仍能由內部網絡直連登入管理介面，應迅速停止 Container Manager 中的所有容器，中止 Hyper Backup 與 Cloud Sync 等同步作業，避免受損檔案同步覆蓋雲端備份。嚴禁在系統內刪除任何檔案，亦不得進行儲存空間重組與資料整理。
如果不慎中招，必須完整保留勒索信與系統日誌，切勿自行重新安裝系統或初始化硬碟，應完整保留 read-me3.txt、SSH 登入紀錄及容器運行日誌，這些皆為後續判定加密步長、漏洞溯源及資安通報的核心鑑識證據，等待 Synology 官方公告及排解方法。
資料來源:
