Ransomware C3RB3R : Synology alerte les propriétaires de NAS, mettez à jour DSM immédiatement

Depuis début octobre 2026, le ransomware C3RB3R, une variante de la famille Cerber, chiffre les fichiers des NAS Synology restés sur des versions obsolètes de DiskStation Manager. Les fichiers sont renommés avec l'extension .L0CK3D et une note de rançon read-me3.txt est déposée dans chaque répertoire. L'équipe anti-ransomware de 360 a confirmé fin octobre que les attaques exploitent deux failles critiques, CVE-2026-13639 et CVE-2026-13684, toutes deux notées 9.8 sur 10 (CVSS), corrigées par Synology le 18 septembre 2026 dans l'avis de sécurité Synology-SA-26:13. Si vous utilisez un NAS Synology en complément de votre serveur dédié ou de votre VPS Linux pour stocker des sauvegardes, des bases de données MySQL ou des fichiers de configuration, cet article détaille les versions à installer et les réflexes à adopter.

C3RB3R : un ransomware qui cible les NAS accessibles depuis Internet

C3RB3R est une variante du ransomware Cerber, actif depuis plusieurs années sous différentes formes. Cette version vise spécifiquement les boîtiers NAS Synology dont l'interface DSM (DiskStation Manager), un serveur web intégré accessible via le navigateur, est exposée sur Internet sans avoir reçu les correctifs de septembre 2026. L'attaque ne nécessite aucune interaction de l'utilisateur : l'attaquant scanne les adresses IP publiques à la recherche de NAS exposés, puis exploite les failles à distance, sans authentification, pour accéder au système de fichiers.

Une fois le NAS compromis, C3RB3R chiffre les fichiers avec l'algorithme ChaCha8, chaque fichier recevant une clé unique encapsulée en RSA-2048. Les documents, photos, exports de bases de données, dumps MySQL, fichiers de configuration serveur et sauvegardes sont renommés avec l'extension .L0CK3D. Le ransomware dépose dans chaque dossier un fichier read-me3.txt contenant un identifiant unique et une adresse sur le réseau Tor pour le paiement de la rançon en bitcoin. Vingt-sept répertoires système sont épargnés pour que le NAS reste fonctionnel et que la victime puisse lire la demande de rançon.

L'espace de stockage chiffré devient inaccessible : les partages réseau (SMB/CIFS, NFS), les transferts FTP et les services cloud hébergés sur le NAS (Synology Drive, Cloud Station) cessent de fonctionner normalement. Aucun outil de déchiffrement gratuit n'existe à ce jour pour cette variante. La seule protection efficace est la mise à jour du firmware DSM et une stratégie de sauvegarde qui ne repose pas uniquement sur le NAS.

CVE-2026-13639 et CVE-2026-13684 : deux failles critiques dans DSM

Les deux vulnérabilités exploitées par C3RB3R font partie d'un lot de huit failles corrigées par Synology le 18 septembre 2026 dans l'avis de sécurité Synology-SA-26:13. Les deux plus critiques permettent à un attaquant distant non authentifié de lire ou écrire des fichiers arbitraires sur le NAS :

• CVE-2026-13684 (CWE-116, CVSS 9.8) : un défaut d'encodage dans la couche SCGI du serveur web DSM permet à un attaquant distant de lire ou d'écrire des fichiers arbitraires sur le système, sans authentification. C'est la porte d'entrée principale du ransomware.
• CVE-2026-13639 (CWE-331, CVSS 9.8) : une entropie insuffisante dans la logique de connexion de DSM permet de contourner l'authentification et d'accéder aux fichiers du NAS ou de provoquer un déni de service.

L'avis Synology-SA-26:13 corrige également six autres vulnérabilités de sévérité variable : accès authentifié aux fichiers via l'API LDAP (CVE-2026-13673, CVSS 8.8), traversée de chemin dans l'API d'upload (CVE-2026-6205, CVSS 8.1), divulgation d'informations via l'API d'authentification (CVE-2026-13635), XSS dans l'API Theme, injection CRLF dans l'API de partage et injection SQL accessible uniquement aux administrateurs (CVE-2026-13683).

Le point critique pour les administrateurs : ces failles sont exploitables sans authentification et sans interaction utilisateur. Un NAS Synology dont l'adresse IP est exposée sur Internet avec un DSM non à jour est une cible directe. Six semaines se sont écoulées entre la publication du correctif (18 septembre) et les premières attaques massives (début octobre), ce qui souligne l'importance d'appliquer les mises à jour de sécurité sans délai, que ce soit sur un NAS, un VPS Linux ou un serveur dédié.

Versions DSM corrigées : tableau comparatif

Synology a publié les correctifs le 18 septembre 2026 pour toutes les branches DSM encore maintenues. Vérifiez que votre NAS exécute au minimum l'une de ces versions :

Les NAS exécutant DSM 7.1 ou une version antérieure ne recevront pas de correctif pour ces failles. Si votre matériel ne supporte pas DSM 7.2 ou supérieur, la seule mesure de protection est de couper l'accès Internet au NAS et de n'y accéder que depuis le réseau local ou via un tunnel VPN configuré sur un VPS.

Comment vérifier et mettre à jour le firmware DSM

Connectez-vous à l'interface web de votre NAS Synology (par défaut sur le port 5000 ou 5001 en HTTPS). Ouvrez le Panneau de configuration (panel d'administration DSM), puis la section Mise à jour et restauration. Le numéro de version DSM en cours s'affiche en haut de la page. Comparez-le avec le tableau ci-dessus.

Si votre version est inférieure au seuil corrigé :

1. Cliquez sur Vérifier les mises à jour pour télécharger le firmware le plus récent depuis les serveurs Synology.
2. Lancez l'installation. Le NAS redémarrera automatiquement.
3. Après le redémarrage, vérifiez à nouveau le numéro de version dans le Panneau de configuration pour confirmer que la mise à jour a été appliquée.

Si la mise à jour automatique échoue (réseau restreint, NAS derrière un firewall strict), téléchargez le fichier .pat correspondant à votre modèle depuis le centre de téléchargement Synology, puis appliquez-le via Mise à jour manuelle de DSM dans le même menu.

Services NAS exposés : auditer et configurer la sécurité

La mise à jour du firmware DSM corrige les failles, mais un NAS Synology expose par défaut de nombreux services réseau qu'un attaquant peut exploiter. Après la mise à jour, il faut configurer chaque service pour réduire la surface d'attaque. Dans le Panneau de configuration, auditez les points suivants :

Pour chaque service, configurez le firewall intégré de DSM (Panneau de configuration > Sécurité > Pare-feu) : autorisez uniquement les adresses IP de votre réseau local et de votre VPN, bloquez tout le reste. Activez la protection contre le brute-force (blocage automatique après 5 tentatives) et activez les notifications par e-mail ou SMS pour être alerté en cas de connexion suspecte. Si vous hébergez des sites web ou un CMS sur le NAS via Web Station, envisagez de migrer ces services vers un VPS Linux ou un hébergement web dédié, où la gestion des mises à jour de sécurité est plus granulaire.

Détecter une compromission : signaux dans les logs

Si vous suspectez que votre NAS a été ciblé, vérifiez les journaux système avant de conclure que tout va bien. Dans DSM, ouvrez le Centre de journaux et examinez les logs de connexion :

• Connexions root ou admin réussies depuis des adresses IP inconnues, surtout en dehors de vos plages habituelles.
• Tentatives de connexion en masse (brute-force) sur le port 5000/5001 (DSM), 22 (SSH) ou 21 (FTP).
• Tâches planifiées inconnues dans le Planificateur de tâches : C3RB3R peut ajouter un script de persistance.
• Transferts réseau inhabituels : une bande passante sortante anormalement élevée peut indiquer une exfiltration de données avant chiffrement.
• Fichiers .L0CK3D ou read-me3.txt dans n'importe quel répertoire partagé.

Sur vos serveurs Linux (VPS ou dédié), complétez cette vérification en inspectant les logs SSH avec sudo journalctl -u ssh et les connexions réseau sortantes vers le NAS avec sudo ss -tnp | grep <IP-du-NAS>. Si votre NAS sert de destination pour des scripts de sauvegarde automatisés (rsync, Hyper Backup, tâches cron), vérifiez que ces scripts n'ont pas été modifiés et que les sauvegardes les plus récentes ne contiennent pas de fichiers chiffrés. Notre tutoriel sur la rotation des journaux Linux détaille comment conserver et analyser efficacement les logs de vos serveurs.

Sauvegarde 3-2-1 : ne pas tout miser sur le NAS

Un NAS Synology offre un espace de stockage important avec des disques SSD ou HDD en RAID, mais un ransomware qui chiffre le NAS détruit aussi les sauvegardes qui s'y trouvent. La règle de sauvegarde 3-2-1 reste la meilleure protection contre les ransomwares :

• 3 copies de chaque fichier important (l'original et deux sauvegardes).
• 2 supports différents (par exemple le NAS et un serveur distant, ou un VPS avec de l'espace disque dédié).
• 1 copie hors site, déconnectée du réseau ou stockée sur un serveur cloud distant inaccessible depuis le NAS.

Pour les administrateurs qui utilisent un NAS Synology comme destination de sauvegarde pour leur serveur dédié ou leur VPS, l'incident C3RB3R rappelle qu'une sauvegarde accessible en écriture depuis le réseau est une cible. Si le NAS est chiffré, la sauvegarde l'est aussi. Plusieurs approches complémentaires existent :

• Sauvegarde vers un VPS distant avec rsync : notre guide sauvegarder un VPS avec rsync détaille la configuration d'un script de copie distante automatisé via SSH, indépendant du NAS.
• Chiffrement des sauvegardes hors site : pour protéger les données même en cas de compromission du serveur de destination, consultez notre guide chiffrer les sauvegardes serveur hors site.
• Haute disponibilité sur serveur dédié : pour les infrastructures critiques qui exigent de la RAM, du processeur et de la bande passante dédiés, notre guide sauvegardes et haute disponibilité sur serveur dédié couvre les stratégies de réplication et de reprise après sinistre.
• Sauvegarde des bases MySQL : si votre NAS stocke des dumps de bases de données MySQL exportés depuis vos serveurs, automatisez les exports avec mysqldump et un script cron vers une destination séparée. Notre guide sauvegardes MySQL avec mysqldump et cron couvre cette configuration.

Si votre NAS Synology est déjà chiffré par C3RB3R, ne formatez pas le disque avant d'avoir consulté un spécialiste en récupération de données. Les snapshots Btrfs (si activés avant l'attaque) et les sauvegardes Hyper Backup vers une destination externe (serveur distant, stockage cloud S3, second NAS isolé) sont les deux seules pistes de récupération sans payer la rançon.

Ce que cela change pour les administrateurs de serveurs

Les NAS Synology sont largement utilisés par les administrateurs de serveurs dédiés et de VPS comme espace de stockage pour les sauvegardes, les fichiers de configuration, les dumps de bases de données MySQL, les images ISO et les fichiers partagés par les équipes. Dans un datacenter ou un bureau, le NAS complète souvent un serveur dédié pour le stockage de masse et un serveur privé virtuel (VPS) pour les applications web. Un NAS compromis dans cette infrastructure peut exposer des sauvegardes de bases de données, des fichiers de configuration serveur, des clés SSH et des données clients.

L'incident C3RB3R illustre un schéma récurrent en sécurité : les appareils réseau (NAS, routeurs, pare-feu matériels) reçoivent souvent leurs mises à jour de sécurité avec plus de retard que les serveurs Linux ou Windows. Sur un VPS, les mises à jour automatiques via unattended-upgrades ou dnf-automatic corrigent les failles en quelques heures. Sur un NAS, la mise à jour reste souvent manuelle et dépend de la vigilance de l'administrateur. Les services d'infogérance et d'administration serveur ne couvrent généralement pas les équipements NAS, ce qui crée un angle mort dans la politique de sécurité.

Pour réduire la surface d'attaque de votre infrastructure :

• Ne laissez jamais l'interface DSM d'un NAS Synology accessible directement depuis Internet sans VPN ou restriction par adresse IP source. Configurez le firewall du NAS pour n'autoriser que votre réseau local et les adresses IP de vos serveurs.
• Traitez le firmware du NAS comme n'importe quel autre composant critique : appliquez les correctifs de sécurité dès leur publication, au même titre que les mises à jour de votre VPS Linux ou de votre serveur dédié.
• Désactivez le compte root et le compte admin par défaut du NAS. Créez un compte administrateur nommé avec un mot de passe fort et l'authentification à deux facteurs (2FA).
• Surveillez les logs de connexion du NAS et les avis de sécurité Synology avec la même rigueur que les bulletins CVE de vos serveurs Linux.
• Séparez les sauvegardes : une copie sur le NAS, une copie sur un VPS distant via SSH sécurisé, et si possible une copie froide hors ligne ou dans un espace de stockage cloud isolé.
• Si vous administrez aussi des serveurs sous Windows, appliquez les mêmes réflexes de segmentation : notre guide sécuriser un VPS Windows Server couvre la configuration du pare-feu et la restriction de l'accès RDP.

Ce qu'il faut retenir

Le ransomware C3RB3R exploite deux failles critiques (CVE-2026-13639 et CVE-2026-13684) dans DiskStation Manager pour chiffrer l'espace disque des NAS Synology non mis à jour. Les correctifs sont disponibles depuis le 18 septembre 2026 : mettez à jour vers DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ou 7.2.1-69057-12 selon votre branche. Configurez le firewall intégré pour restreindre l'accès par adresse IP, désactivez les services inutiles (FTP, serveur web, DNS, QuickConnect), et vérifiez les logs de connexion. Appliquez la règle de sauvegarde 3-2-1 pour que vos données, qu'il s'agisse de fichiers de configuration, de bases MySQL ou de sauvegardes de vos VPS et serveurs dédiés, ne dépendent pas d'un seul support de stockage.