Kritikus NAS-biztonsági riasztások
A malajziai MyCERT figyelmeztetése szerint a C3RB3R zsarolóvírus tömegesen támadja az internetre közvetlenül csatlakozó, elavult Synology NAS-eszközöket. A Synology megerősítette a kampányt, amelyben a támadók a fájlokat .L0CK3D vagy .LOCK3D kiterjesztéssel titkosítják, és read-me3.txt nevű váltságdíjüzenetet hagynak hátra.
A behatolásokhoz több korábbi sérülékenységet is felhasználhattak, köztük a CVE-2024-10441 azonosítójú, hitelesítés nélküli távoli kódfuttatást lehetővé tevő hibát. A MyCERT emellett a CVE-2026-111497 (Node2Shell) sérülékenység aktív kihasználására is figyelmeztet. Ez a Google Brotli dekóderének memóriakezelési hibája, amely többek között Node.js-alapú szolgáltatásokat érinthet. A Synology vizsgálja, hogy szerepet játszott-e a zsarolóvírusos incidensekben, de az összefüggés még nem bizonyított.
Ettől függetlenül a QNAP sürgős figyelmeztetést adott ki a Plex2Shell sérülékenységcsoportról. A Plex Media Server 1.43.2-es és korábbi verzióit érintő négy hiba — CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 és CVE-2026-96656 — összekapcsolásával a támadók hitelesítés nélkül futtathatnak kódot a médiaszerver jogosultságaival.
A nyilvános kihasználási módszer október 16-i megjelenése után széles körű támadások kezdődtek. A kompromittált Plex-kiszolgálókon kriptovaluta-bányászokat és proxyszoftvereket telepítettek. A QNAP felhasználói bejelentések alapján már tényleges fertőzéseket is vizsgál.
A Plex2Shell hibáit a Plex Media Server 1.43.3.10861-es és újabb verziói javítják. A QNAP hangsúlyozza, hogy nem a QTS vagy QuTS hero operációs rendszer sérülékeny, hanem a NAS-on futó harmadik féltől származó Plex-alkalmazás.
A gyártó szerint a korábban internetre kitett, sérülékeny Plex-telepítéseknél a frissítés önmagában nem elegendő, a már telepített kártevők megmaradhatnak. Ezért tiszta újratelepítést, kompromittálódási vizsgálatot, valamint a Plex- és NAS-hitelesítő adatok cseréjét javasolja.
