## En bref - C3RB3R ransomware (famille Cerber) exploite CVE-2026-13639 et CVE-2026-13684 (CVSS 9.8) dans DiskStation Manager pour chiffrer les NAS Synology sans authentification - Fichiers chiffrés renommés .L0CK3D ; note de rançon read-me3.txt dans chaque dossier ; demande de 2 952 USD en Bitcoin doublée après 5 jours - Aucun outil de déchiffrement gratuit disponible au 31 octobre 2026 ; seule protection : patch DSM de septembre 2026 et isolation du NAS depuis Internet ## Les faits Depuis début octobre 2026, une vague d'attaques ransomware cible spécifiquement les dispositifs NAS Synology sous DiskStation Manager (DSM). La souche responsable est C3RB3R, descendant direct de la famille Cerber active depuis 2016, dont les opérateurs ont fait évoluer le code pour exploiter de nouvelles vulnérabilités. Les incidents ont été documentés par des chercheurs de 360 Security, GridinSoft, Trebsec et plusieurs forums spécialisés Synology. Les deux vecteurs d'entrée principaux sont CVE-2026-13639 et CVE-2026-13684, deux failles critiques dans DiskStation Manager notées CVSS 9.8. Ces vulnérabilités permettent à un attaquant non authentifié d'exécuter du code arbitraire à distance via l'interface de gestion web du NAS, accessible par défaut sur les ports 5000 (HTTP) et 5001 (HTTPS). Synology a publié les correctifs pour ces deux CVE le 18 septembre 2026 — mais de nombreux utilisateurs n'ont pas appliqué la mise à jour, laissant leurs appareils exposés directement depuis Internet. Une fois l'accès obtenu, C3RB3R procède à un chiffrement systématique de tous les fichiers accessibles sur le NAS : documents, photos, vidéos, bases de données, archives, et — point crucial — les fichiers de sauvegarde. L'extension .L0CK3D est ajoutée à chaque fichier chiffré. Dans chaque répertoire affecté, le ransomware dépose une note de rançon nommée read-me3.txt, qui redirige la victime vers un site Tor pour négocier le paiement. La demande de rançon initiale est de 2 952 dollars en Bitcoin (valeur au moment de l'infection). Si la victime ne paie pas dans les 5 jours, le montant est doublé à 5 904 dollars. Ces chiffres sont cohérents avec la stratégie historique du groupe Cerber, qui cible des particuliers et PME disposant de données précieuses mais sans ressources cybersécurité dédiées — typiquement le profil d'un utilisateur Synology hébergeant des sauvegardes familiales ou une petite médiathèque d'entreprise. Il existe un désaccord dans la communauté de sécurité sur l'entrée précise : Synology cite une faille patchée en décembre 2024, tandis que les chercheurs de 360 Security identifient CVE-2026-13639 et CVE-2026-13684 (patch septembre 2026) comme les vecteurs principaux de la campagne actuelle. Les deux hypothèses peuvent être vraies simultanément : C3RB3R exploite probablement plusieurs vecteurs selon la version DSM trouvée sur le NAS ciblé. La campagne représente un pic notable dans les attaques ransomware contre les NAS en 2026. Les appareils Synology sont particulièrement exposés car de nombreux utilisateurs activent l'accès distant sur les ports 5000 et 5001 sans restriction IP ni double authentification. [Shodan](/glossaire/shodan) et [Censys](/glossaire/censys) répertoriaient encore plus de 800 000 interfaces DSM Synology accessibles publiquement fin octobre 2026, dont une fraction significative avec des versions non patchées. L'absence de décrypteur gratuit est une contrainte majeure pour les victimes. Au 31 octobre 2026, ni le projet No More Ransom, ni aucun éditeur de sécurité, n'ont publié d'outil permettant de récupérer les fichiers .L0CK3D sans payer la rançon. La seule voie de récupération viable sans paiement repose sur des sauvegardes hors ligne non affectées — par définition inaccessibles aux NAS compromis. Des tentatives de restauration depuis les instantanés Synology Snapshot [Replication](/glossaire/replication-active-directory) ont échoué dans plusieurs cas documentés car C3RB3R cible également ces snapshots. Le nom C3RB3R (translittération leetspeak de Cerber) est cohérent avec la tradition de renommage de cette famille, qui utilisait déjà des variantes orthographiques pour contourner les détections signature-based. Les IOC associés à cette campagne incluent des adresses IP de commande et contrôle dans des plages IP russes et ukrainiennes, mais l'attribution définitive n'est pas encore confirmée à cette date. ## Impact et exposition Tout NAS Synology exposé à Internet avec une version DSM non patchée antérieure au 18 septembre 2026 est vulnérable. Les appareils sans authentification à deux facteurs et avec les ports 5000/5001 ouverts sur Internet sont les cibles prioritaires. Les sauvegardes stockées sur le NAS — Time Machine macOS, Hyper Backup, snapshots — sont chiffrées au même titre que les données primaires, supprimant la principale stratégie de récupération. ## Recommandations - Appliquer les mises à jour DSM de septembre 2026 corrigeant CVE-2026-13639 et CVE-2026-13684 (Panneau de configuration > Mise à jour et restauration) - Désactiver l'accès direct à l'interface DSM depuis Internet ; utiliser un VPN comme seul point d'entrée vers le NAS - Activer l'authentification à deux facteurs (2FA) sur tous les comptes Synology, en particulier l'administrateur - Implémenter la règle 3-2-1 : 3 copies, 2 supports différents, 1 copie hors site sur support déconnecté (air-gap) - Vérifier via Synology Security Advisor l'absence d'autres expositions (port forwarding non nécessaire, comptes sans MFA) #### Alerte critique Si votre NAS Synology est exposé à Internet sans le patch de septembre 2026, considérez qu'il est potentiellement compromis. Isolez-le immédiatement du réseau, réalisez une image forensique si possible, et contactez un spécialiste avant toute tentative de restauration qui pourrait effacer des preuves de compromission. ### Mon NAS Synology est chiffré en .L0CK3D — que faire en priorité ? En priorité : débranchez le NAS du réseau immédiatement pour stopper la propagation. Ne redémarrez pas, ne tentez pas de réinstaller DSM sans avoir d'abord créé une image du disque — certaines variantes de C3RB3R suppriment les fichiers chiffrés au redémarrage. Vérifiez si vous disposez de sauvegardes hors ligne (disque externe déconnecté au moment de l'attaque). Au 31 octobre 2026, aucun décrypteur gratuit n'est disponible. Consultez un professionnel de réponse à incident avant toute décision sur le paiement de la rançon — qui ne garantit pas la récupération des données. ### Votre infrastructure est-elle exposée ? Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées. [Demander un audit](#)