近日，Synology NAS 傳出多宗遭勒索軟體入侵的個案，部分用戶發現文件及備份被加密，檔案副檔名變成「.L0CK3D」，並留下帶有「C3RB3R」字樣的勒索信。事件引起關注之際，另一組名為 PHP2Shell 的高危漏洞亦促使官方發布安全更新，令外界一度將兩者視為同一波攻擊。不過，Synology 最新公告顯示，兩條事件線必須分開理解。官方表示，已發現攻擊者利用一個早於 2024 年 12 月修補的漏洞，針對仍執行已終止支援 DSM 版本的設備加密資料。至於 PHP2Shell 則涉及特定 PHP 相依套件，需要另外更新，目前不能據此認定，所有勒索個案均由 PHP2Shell 引起。
舊漏洞與新警報並存
根據用戶及媒體通報，部分受害設備的共享資料夾、文件和備份遭加密，目錄中出現名為 read-me3.txt 的勒索信。這類社群通報反映的是受害現象，單憑副檔名及勒索信，不足以判斷每宗個案的入侵入口。Synology 在 10 月 29 日的公告中指出，攻擊者正在利用已於 2024 年 12 月修補的漏洞，攻擊仍使用已終止支援 DSM 的設備。這項官方說法，將焦點由「全新漏洞突然攻破 NAS」，轉向「已知漏洞持續被利用」。與此同時，官方亦確認 PHP2Shell 漏洞 CVE-2026-109618 及 CVE-2026-109619，影響執行特定 PHP 相依套件的系統。因此，較準確的情況是：舊漏洞勒索攻擊與新披露 PHP 漏洞的修補工作同時發生，而非已證實存在一條涵蓋所有受害者的共同攻擊鏈。
PHP2Shell 影響哪些服務？
Synology 列出的受影響套件包括 Calendar、IDrive、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station 及 WordPress。其中 IDrive 屬第三方套件，與 Synology 自家的 Synology Drive 不同。官方明確表示，Synology Drive 不受 PHP2Shell 影響。事件並不代表所有 Synology NAS、所有共享資料夾，或所有 DSM 服務都存在相同的外部攻擊入口。是否執行相關套件，是判斷 PHP2Shell 影響範圍的重要條件。官方亦指出，DSM 內建 PHP 元件沒有可從外部存取的模組，按架構設計並未形成對外暴露的攻擊面，風險評估極低。相關元件仍會安排修補，以維持漏洞掃描與合規狀態的一致性。換言之，「系統內含有漏洞元件」與「攻擊者能從互聯網直接利用」，並非同一回事。
Synology 對舊漏洞的處置，是要求用戶更新 DSM，對 PHP2Shell，則要求透過「套件中心」更新 PHP。更新完成後，相依套件會重新啟動，而 MailStation 需要手動更新。因此，DSM 顯示「已是最新版本」，不能單獨用來證明 PHP 及所有相依套件都已修補。反過來，更新 PHP 也不能取代 DSM 本身的安全更新。管理者需要同時檢查系統及套件，而不是只查看其中一個更新頁面。對家庭用戶及小型辦公室而言，這種分層更新機制尤其容易造成遺漏。
舊 NAS 缺乏完整支援
Synology 此次將 PHP 安全更新延伸至已終止生命週期的 DSM 7.2、7.1、7.0 及 6.2。對早於 DSM 6.2 的系統，官方建議在升級至受支援版本前，暫時停用受影響套件。這項安排反映，舊系統仍是風險處置的重要部分。不過，例外發布補丁，不應被理解為相關版本已恢復完整支援。用戶仍須確認設備可升級至哪個 DSM 分支，以及正在使用的套件是否仍獲安全維護。
攻擊技術細節仍有待證實
目前公開的官方公告確認了漏洞遭利用與資料加密勒索，但未交代完整感染流程，包括是否取得系統最高權限、是否建立排程持久化、是否涉及 Container，或有否在加密前竊取資料。同樣地，官方公告未提供受害設備總數、地區分布或贖金總額。對尚未發現異常的用戶，官方提出的首要措施，是立即更新 DSM，並到套件中心完成 PHP 及相關套件更新，至於有使用 MailStation 的用戶須留意手動更新要求。使用早於 DSM 6.2 版本的設備，則應依官方建議，在升級前停用受影響套件。