El 29 d'octubre del 2026, el fabricant i l'investigador van publicar el mateix dia dues explicacions diferents del mateix xifratge. L'endemà en va aparèixer una tercera que no encaixa amb cap. Ningú no menteix, i la part interessant no és qui té raó: és el que les tres juntes diuen sobre la pantalla que mires per saber si estàs al dia.
El cas, en tres línies. Des de principis d'octubre, una família de ransomware anomenada C3RB3R —una variant de Cerber— xifra NAS de Synology i reanomena els fitxers amb l'extensió .L0CK3D. El 29 d'octubre, l'equip antiransomware de la firma xinesa 360 va publicar que l'entrada eren dues vulnerabilitats corregides el 18 de setembre. Aquell mateix dia, Synology va publicar una nota al seu web dient que els atacants exploten «una vulnerabilitat pedaçada el desembre del 2024» i enllaçant a un avís de fa dos anys. Els dos textos existeixen, estan signats i no se citen l'un a l'altre.
Les tres versions, una al costat de l'altra
Les dues primeres hi caben alhora
La contradicció es desfà als números de compilació. A SA-24:20, la versió que corregeix la vulnerabilitat del 2024 per a la branca DSM 7.2.2 és 7.2.2-72806-1 o superior. A SA-26:13, la que corregeix les de setembre per a aquesta mateixa branca és 7.2.2-72806-9 o superior. Comptant la mateixa -1, són vuit compilacions en què un aparell està al dia de la vulnerabilitat del 2024 i exposat a la del 2026 —donant per fet que la numeració no salta, que és un supòsit nostre—.
La resposta és avorrida: hi ha dos parcs d'aparells diferents. Un fa dos anys que no es toca i l'obre la vulnerabilitat del 2024; un altre es va actualitzar alguna vegada, es va quedar aturat abans de setembre i l'obre la del 2026. Synology veu els seus casos, 360 veu els seus, i tots dos poden tenir raó sobre el que han mirat. Aquesta lectura és nostra i no ens l'ha confirmada ningú, però és aritmètica de versions, no especulació.
La tercera no necessita un dia zero
La víctima que documenta l'equip de resposta corria DSM 7.4.1-90080 Update 1, una compilació publicada el 12 d'octubre i posterior a la que corregeix les vulnerabilitats de setembre (7.4-90075). La lectura còmoda és «llavors hi ha un dia zero». Però el mateix informe no ho afirma: avisa que no ha pogut establir si hi va haver explotació de dia zero ni si l'aparell ja estava compromès abans d'actualitzar-se. Aquesta segona porta és la més mundana i la més probable: la campanya va començar a principis d'octubre, i el pedaç va arribar a mitjan mes.
I hi ha una tercera porta que no necessita inventar res, perquè està publicada i datada. El 22 d'octubre del 2026, deu dies després d'aquella compilació, Synology va publicar l'avís SA-26:14: dues vulnerabilitats, CVE-2026-109618 i CVE-2026-109619, totes dues en CVSS 9,8, execució remota de codi. I no són a DSM.
Dos inventaris de pedaços i una sola pantalla
Els productes afectats per SA-26:14 són Synology Calendar, Mail Station i els entorns d'execució de PHP 7.3 a 8.4. És a dir: paquets. Es corregeixen actualitzant paquets, cadascun amb el seu número de versió, en una altra pantalla. El build de DSM pot estar impecable i aquelles dues nou-coma-vuit continuar-hi. L'avís afegeix dos detalls que convé no saltar-se: Hyper Backup no està afectat, i PHP 7.3 no rep correcció perquè està fora de suport. Si un paquet teu arrossega aquell PHP, no hi ha cap botó per prémer.
Aquesta és la part que ens sembla més útil de tot el cas, i no depèn de saber per on van entrar. En un NAS hi conviuen dos inventaris de pedaços —el del sistema i el dels paquets— que s'actualitzen per separat, i la pantalla que mira tothom per dir «estem al dia» només en mostra un. En el pitjor mes possible, les dues vulnerabilitats de 9,8 més recents eren a l'inventari que no es veu. No afirmem que la campanya hi entrés: ningú no ho ha dit. Afirmem que si la teva comprovació és un número de versió de DSM, no te n'hauries assabentat.
La vulnerabilitat del 2024 no era a cap llista de prioritats
Si la versió de Synology és la correcta per al teu aparell, hi ha un detall que convé mirar de cara. CVE-2024-10441 va sortir d'un concurs: l'avís es titula literalment «DSM (PWN2OWN 2024)» i als agraïments hi apareix l'equip de recerca de DEVCORE, tot i que l'avís no diu quin equip va trobar cada CVE. Mai no ha entrat al catàleg de vulnerabilitats explotades conegudes de CISA. Durant gairebé dos anys, qualsevol que prioritzés per aquest catàleg —que en són molts, i és una pràctica raonable— tenia aquesta vulnerabilitat per sota del tall.
Un matís de dates, per honestedat. La nota de Synology diu «desembre del 2024», però la pàgina de l'avís SA-24:20 està datada el 5 de novembre del 2024 i marcada com a actualitzada el 28 de març del 2025. Els avisos de Synology s'amplien amb el temps —s'hi afegeixen productes i versions corregides—, així que la data de la nota pot referir-se a una ampliació posterior. No ho resolem perquè no tenim l'historial de canvis de l'avís. De la data de publicació al 29 d'octubre del 2026 hi ha 723 dies; comptant des del desembre, 693. L'ordre de magnitud no canvia.
Això no va d'un NAS. Va d'on viu la teva còpia
A la majoria d'empreses petites que ens hem trobat, el mateix aparell fa dues feines que ningú no va decidir ajuntar: és el servidor de fitxers del dia a dia i és la destinació de les còpies. Normalment perquè va créixer així. Algú va comprar un NAS per compartir carpetes, després algú hi va apuntar la tasca de còpia perquè hi havia lloc, i ningú no ho va tornar a mirar.
Mira ara què permeten les vulnerabilitats de la columna del mig: escriptura arbitrària de fitxers, sense autenticació, sobre aquell aparell. Quan l'incident i la pèrdua de la recuperació passen al mateix tros de ferro, no tens un incident amb còpia de seguretat: tens un incident. És el mateix error de disseny que vam explicar quan vam parlar d'el servidor de còpies ficat al domini que ha de rescatar: la cosa que et salva no pot dependre de la cosa que es trenca.
I abans que algú respongui «ja, però les meves instantànies són immutables»: la immutabilitat cau per la porta del permís molt més sovint que per la del xifratge, i ja vam dedicar un article sencer a això —la teva còpia immutable té un permís que l'esborra—. Si el compte que pot desactivar la retenció viu al mateix aparell que acaba de caure, la retenció és una preferència.
Set comprovacions que valen en els tres relats
Cap no depèn d'encertar la via d'entrada. Són d'una tarda.
- ·Apunta la versió sencera, amb sufix. A DSM, Tauler de control → Actualitzar i restaurar. No val «7.2.2»: el que decideix és el número final,
-72806-9davant de-72806-1. És exactament la diferència entre les dues primeres files de la taula. - ·I després obre el Centre de paquets. Aquesta és la segona llista. Si tens Calendar, Mail Station o qualsevol paquet que arrossegui un PHP, allà hi viuen les dues vulnerabilitats de 9,8 del 22 d'octubre. Desinstal·la el que no facis servir: un paquet que ningú no obre des del 2023 és superfície regalada.
- ·Mira el router, no el NAS. Busca reenviaments de ports cap a ell i serveis d'accés remot actius. La pregunta no és si està «protegit», és si una petició des d'internet arriba a la seva interfície d'administració.
- ·Quin compte fa servir la tasca de còpia. Si el servidor de còpies entra al NAS amb un compte administrador, qui entri al NAS arriba a les còpies. Compte dedicat, permís només sobre la seva carpeta, i sense accés a la consola.
- ·Hi ha una còpia fora d'aquell aparell? Si la resposta és «les instantànies del mateix NAS», no hi ha còpia: hi ha versions. Una altra destinació, altres credencials, un altre lloc físic o lògic.
- ·Qui pot apagar la retenció. Fes la llista de comptes capaços d'esborrar o escurçar una còpia marcada com a immutable. Si hi inclou l'administrador de l'aparell compromès, torna al punt anterior.
- ·Restaura alguna cosa de debò, amb cronòmetre. No un fitxer: un conjunt que algú faci servir demà. El número que en surti és el teu temps de recuperació real, i acostuma a ser la primera vegada que algú el mesura.
Quan això no t'aplica
Si el teu NAS és una destinació secundària, no hi arriba res des d'internet, la tasca de còpia hi entra amb un compte dedicat i hi ha una còpia més en un altre lloc que aquell aparell no pot tocar, aquesta setmana no tens un problema: tens un simulacre gratis. Comprova els set punts en una hora i continua amb la teva feina. Dir-ho ens sembla més útil que convertir cada notícia en una urgència.
I a l'inrevés: si l'aparell és el teu únic emmagatzematge i el vas publicar a internet perquè algú pogués treballar des de casa, tant se val el fabricant. Aquest mes li ha tocat a una marca; l'arquitectura d'«un aparell amb interfície web que ho guarda tot i s'actualitza per dos llocs diferents» és la mateixa a totes.
On ens deixa això a nosaltres
No hem respost a cap d'aquests incidents i no tenim telemetria pròpia sobre la campanya: el que tenim són tres pàgines d'avís llegides senceres i un calendari. Però la conclusió l'apliquem cada dia quan muntem un pla de disaster recovery: el disseny es valida contra el cas en què no saps com van entrar. Si el teu pla només funciona quan l'informe forense arriba a temps, té una dependència que no controles.
La part avorrida —que l'aparell estigui inventariat, que algú sàpiga que té dues llistes d'actualitzacions i no una, i que hi hagi una finestra amb un responsable que la signi— és manteniment informàtic. Si en llegir els set punts t'has quedat encallat al cinquè, que és on s'encalla gairebé tothom, escriu-nos i ho mirem junts.
Nota de fonts. Hem llegit directament tres pàgines de Synology i d'allà surten totes les dades dures. SA-26:13, publicat el 18-09-2026: vuit CVE, amb CVE-2026-13684 i CVE-2026-13639 en CVSS 9,8 (vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) i versions corregides 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 i 7.2.1-69057-12. SA-24:20, titulat «DSM (PWN2OWN 2024)», publicat el 05-11-2024 i actualitzat el 28-03-2025: tres CVE, amb CVE-2024-10441 en CVSS 9,8, i versions corregides 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 i 6.2.4-25556-8. SA-26:14, publicat el 22-10-2026: CVE-2026-109618 i CVE-2026-109619, totes dues en CVSS 9,8, afectant Synology Calendar, Mail Station i PHP 7.3 a 8.4, amb Hyper Backup no afectat i PHP 7.3 sense correcció per fi de suport. La nota de premsa de Synology del 29-10-2026 l'hem llegida al seu propi web: parla d'«una vulnerabilitat pedaçada el desembre del 2024», enllaça SA-24:20 i no cita cap CVE ni esmenta els avisos del 2026. El solapament de compilacions entre avisos, la lectura que hi ha dos parcs diferents i la tesi dels dos inventaris de pedaços són nostres i estan marcades com a tals. De segona mà, a través de la cobertura periodística del 29, 30 i 31 d'octubre del 2026 i sense verificació pròpia: l'atribució de 360 a CVE-2026-13639 i CVE-2026-13684, l'informe de Solar amb la víctima a DSM 7.4.1-90080 Update 1 i les seves reserves —que va circular a les xarxes i no hem pogut llegir en origen—, la data de publicació d'aquella compilació (12-10-2026) i l'autoria de DEVCORE a Pwn2Own. Que CVE-2024-10441 no figura al catàleg de vulnerabilitats explotades conegudes de CISA és el que recullen les fitxes públiques del CVE a data d'avui. No som clients ni distribuïdors de cap dels fabricants citats i no hem participat en la resposta a cap d'aquests casos.
Microsoft 365
ES 
CAT 
EN