최 민규
Synology NAS를 운영 중이라면 지금 DSM 버전부터 확인해야 합니다. KISA는 10월 30일 DSM 보안 업데이트 권고를, 11월 3일 Synology NAS 대상 랜섬웨어 주의 권고를 연달아 냈습니다. 두 공지는 별개가 아니라, 패치하지 않은 NAS가 실제 랜섬웨어 공격을 받고 있다는 하나의 흐름입니다.
3줄 요약
- DSM에서 원격 공격이 가능한 취약점이 발견됐고, 그중 2건은 인증 없이 공격 가능한 CVSS 9.8(Critical)입니다.
- 패치하지 않은 NAS를 노린 C3RB3R 랜섬웨어가 파일을 암호화하고 확장자를
.L0CK3D등으로 바꾼 뒤 금전을 요구합니다. - 대응의 핵심은 세부 업데이트 번호까지 최신 DSM 적용, 관리화면 인터넷 노출 차단, NAS와 분리된 백업 세 가지입니다.
1. DSM 취약점 4건 (KISA 10/30 공지)
KISA가 안내한 4건은 Synology가 9월 18일 공개한 보안 권고 Synology-SA-26:13에 포함된 취약점입니다. 권고 전체 심각도는 Critical이며, Synology가 제시한 별도 완화책(Mitigation)은 없습니다. 즉 업데이트 외에는 막을 방법이 없습니다.
| CVE | 취약점 유형 | 발생 위치 | CVSS 3.1 | 인증 필요 | 영향 |
|---|---|---|---|---|---|
| CVE-2026-13684 | 출력값 인코딩·이스케이프 미흡 (CWE-116) | SCGI | 9.8 Critical | 불필요 | 임의 파일 읽기·쓰기, 서비스 거부 |
| CVE-2026-13639 | 불충분한 엔트로피 (CWE-331) | 로그인 로직 | 9.8 Critical | 불필요 | 임의 파일 읽기·쓰기, 서비스 거부 |
| CVE-2026-13673 | 중요 리소스 권한 할당 오류 (CWE-732) | LDAP API | 8.8 Important | 필요 (일반 사용자) | 임의 파일 읽기·쓰기, 서비스 거부 |
| CVE-2026-6205 | 파일명·경로 외부 제어 (CWE-73) | Upload API | 8.1 Important | 필요 (일반 사용자) | 임의 파일 쓰기, 서비스 거부 |
가장 위험한 것은 위 두 건입니다. 네트워크로 접근만 되면 로그인 없이, 사용자 클릭 없이 파일을 읽고 쓸 수 있습니다. 엔트로피 부족(CWE-331) 유형은 일반적으로 세션·토큰 같은 무작위 값이 예측 가능해지는 문제를 뜻합니다. Synology가 세부 동작을 공개하지는 않았지만, 이런 유형은 비밀번호 강도와 관계없이 악용될 수 있다는 점에서 위험합니다.
같은 SA-26:13에는 KISA 공지에 빠진 4건(CVE-2026-13635, 13666, 13623, 13683)도 있습니다. 모두 Moderate 이하이며 같은 버전 업데이트로 함께 해결됩니다.
2. 해결 버전과 업데이트 번호 확인 방법
아래 버전 이상이면 4건 모두 해결된 상태입니다. 메이저 버전(7.2.2 등)이 같아도 끝의 업데이트 번호가 낮으면 취약합니다.
| 사용 중인 DSM | 해결 버전 | DSM 화면 표기 |
|---|---|---|
| DSM 7.4 | 7.4-90075 이상 | DSM 7.4-90075 |
| DSM 7.3 | 7.3.2-86009-4 이상 | DSM 7.3.2-86009 Update 4 |
| DSM 7.2.2 | 7.2.2-72806-9 이상 | DSM 7.2.2-72806 Update 9 |
| DSM 7.2.1 | 7.2.1-69057-12 이상 | DSM 7.2.1-69057 Update 12 |
흔한 착각: 7.2.2-72806-1은 2024년 패치는 들어 있지만 2026년 9월 패치는 빠진 버전입니다. 빌드 번호(72806)만 보고 최신이라고 판단하면 안 되고, 끝자리 Update 번호까지 비교해야 합니다.
GUI에서 확인
- 제어판 > 정보 센터 > 일반에서 DSM 버전 확인
- 제어판 > 업데이트 및 복원 > DSM 업데이트에서 업데이트 확인 및 설치
- 같은 화면의 업데이트 설정에서 중요 업데이트 자동 설치를 켜 두면 이후 보안 패치 누락을 줄일 수 있습니다.
SSH에서 확인 (여러 대 관리 시)
cat /etc.defaults/VERSION
# productversion="7.2.2"
# buildnumber="72806"
# smallfixnumber="9" <- 이 값이 Update 번호smallfixnumber가 위 표의 Update 번호 이상인지 확인하면 됩니다. 메뉴 이름은 DSM 버전에 따라 조금 다를 수 있습니다.
지원 종료 버전 사용 중이라면
SA-26:13의 해결 버전은 DSM 7.2.1 이상에만 나왔습니다. DSM 7.2 이하(7.1, 7.0, 6.2 등)는 이번 4건에 대한 패치 대상에 없습니다. 해당 모델이 지원하는 상위 DSM으로 올리고, 더 이상 올릴 수 없는 구형 모델이면 장비 교체나 최소한 인터넷 노출 완전 차단을 검토해야 합니다. 모델별 지원 DSM 버전은 Synology 다운로드 센터에서 확인할 수 있습니다.
3. Synology NAS 대상 랜섬웨어 (KISA 11/03 공지)
10월 말부터 패치하지 않은 Synology NAS의 파일을 암호화하는 랜섬웨어 피해가 확인되고 있습니다. 보안 업계에서는 이 공격을 C3RB3R(Cerber 랜섬웨어 계열 변종)로 부르며, 공격자가 NAS에 직접 침투해 암호화하는 방식이라 사용자가 무언가를 클릭할 필요가 없습니다.
| 날짜 (2026년) | 내용 |
|---|---|
| 11월 3일 | KISA, Synology NAS 대상 랜섬웨어 공격 주의 권고 |
| 10월 29일 | Synology, 지원 종료 DSM 대상 랜섬웨어 공격 확인 발표 |
| 10월 29일 | 중국 보안업체 Qihoo 360, C3RB3R의 Synology NAS 공격 분석 공개 |
| 10월 말 | 해외 커뮤니티(r/synology 등)에 피해 사례 확산 |
감염 의심 징후
- 파일이 갑자기 열리지 않고, 확장자가
.L0CK3D(숫자 0),.locked,.lock3d,.lock3D등으로 바뀜 - 폴더마다
read-me3.txt같은 랜섬노트가 생기고 복구 대가로 금전(비트코인 등)을 요구 - 내가 만들지 않은 사용자 계정, 예약 작업(작업 스케줄러·cron), 낯선 IP의 로그인 기록
알려진 동작 방식 (Qihoo 360 분석 기준)
- 파일마다 개별 키로 ChaCha8 암호화 후, 그 키를 RSA-2048로 다시 암호화
- 시스템이 멈추지 않도록 일부 시스템 디렉터리는 암호화에서 제외
- 현재까지 공개된 무료 복호화 도구는 확인되지 않음
특히 같은 NAS 안에 백업을 두었거나, NAS에 상시 연결된 USB 디스크·동기화 폴더도 함께 암호화될 수 있습니다. “NAS가 곧 백업”인 환경이 가장 취약합니다.
빠르게 점검하는 명령 (SSH)
# 암호화된 파일 흔적 찾기
find /volume* -type f \( -iname "*.L0CK3D" -o -iname "*.lock3d" -o -iname "*.locked" \) 2>/dev/null | head
# 랜섬노트 찾기
find /volume* -name "read-me3.txt" 2>/dev/null | head
# 예약 작업에 낯선 항목이 있는지 확인
cat /etc/crontab결과가 하나라도 나오면 아래 “감염 의심 시 대응” 절차로 바로 넘어가야 합니다. 이 경우 추가 조사보다 격리가 먼저입니다.
4. 공격 경로: 확인된 것과 아직 불명확한 것
어떤 취약점으로 들어오는지는 발표 주체마다 설명이 다릅니다. 하지만 어느 쪽이든 최신 DSM으로 올리면 두 경로 모두 막힌다는 결론은 같습니다.
| 구분 | Synology 공식 발표 | Qihoo 360 분석 |
|---|---|---|
| 지목한 취약점 | 2024년 12월에 패치된 취약점 (SA-24:20 안내) | CVE-2026-13639, CVE-2026-13684 (SA-26:13, 9월 패치) |
| 대표 CVE | CVE-2024-10441 (CVSS 9.8, 원격 코드 실행) | 위 표의 9.8 두 건 |
| 주요 피해 대상 | 지원 종료(EOL) DSM 사용 장비 | 9월 패치 미적용 장비 |
SA-24:20은 2024년 Pwn2Own에서 발표된 취약점으로, 해결 버전은 DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7, 6.2.4-25556-8입니다. 이 버전조차 적용하지 않은 장비가 현재 공격 대상이라는 것이 Synology의 설명입니다.
확인된 사실
- 패치하지 않은 Synology NAS가 실제로 암호화 피해를 입고 있음 (Synology·KISA 공식 확인)
- SA-24:20, SA-26:13 모두 Synology가 별도 완화책 없이 업데이트로만 해결
아직 불명확한 점
- 실제 침투에 쓰인 취약점이 하나인지, 여러 개가 함께 쓰이는지
- 피해 규모와 국내 피해 현황 (공개된 수치 없음)
- 해외 일부 대응팀이 최신 DSM 7.4.1 장비 피해를 보고했으나, 원인(취약점 외 계정 유출 등)이 확인되지 않음
그래서 업데이트만으로 끝내지 말고, 아래 노출 차단과 계정·백업 보호를 함께 적용하는 것이 안전합니다.
5. 함께 확인할 것: PHP2Shell 패키지 업데이트
DSM 본체와 별개로, PHP 기반 패키지를 쓰는 NAS는 패키지 센터 업데이트도 필요합니다. 10월에 공개된 PHP 취약점 PHP2Shell(CVE-2026-109618, CVE-2026-109619, 둘 다 CVSS 9.8)은 인증 없이 원격 코드 실행이 가능합니다(Synology-SA-26:14).
Synology는 이번 랜섬웨어 조사 과정에서 PHP2Shell의 영향이 PHP에 의존하는 일부 패키지에 한정된다고 밝혔습니다. 다만 웹 서비스를 NAS에서 직접 운영하는 경우라면 우선순위가 높습니다.
- 영향 패키지: Calendar, Mail Station, Web Station, WordPress, phpMyAdmin, Joomla, MediaWiki, KodExplorer, vtigerCRM, IDrive(서드파티) 등 PHP 의존 패키지
- 조치: 패키지 센터에서 PHP 패키지(7.4·8.0~8.4)를 최신으로 업데이트하면 의존 패키지가 자동 재시작되며 해결됩니다. Mail Station은 수동 업데이트가 필요합니다.
- PHP 7.3: 지원 종료로 패치가 제공되지 않으므로, 상위 PHP 버전으로 전환해야 합니다.
- DSM 6.2 미만: 영향 패키지를 일시 중지한 뒤 지원 DSM으로 올리는 것이 Synology 권고입니다.
DSM 내부용 PHP는 외부 노출 모듈이 없어 위험이 낮다고 Synology는 평가했습니다. 취약점 스캐너에서 이 항목이 검출되더라도 이후 DSM 업데이트로 정리될 예정입니다. 자세한 패키지별 해결 버전은 Synology 발표문과 SA-26:14에서 확인할 수 있습니다.
6. 예방 조치 체크리스트
효과가 큰 순서대로 정리했습니다. 메뉴 경로는 DSM 7.2 기준이며 버전에 따라 이름이 조금 다를 수 있습니다.
① 업데이트 (가장 중요)
- 제어판 > 업데이트 및 복원에서 DSM을 세부 Update 번호까지 최신으로 적용
- 패키지 센터에서 설치된 모든 패키지 업데이트 (특히 PHP, Web Station, Calendar, Mail Station)
- 중요 보안 업데이트 자동 설치 활성화
- 지원 종료 DSM이면 상위 버전 전환 또는 장비 교체 계획 수립
② 외부 접근 차단
- DSM 관리화면(기본 5000/5001 포트)을 인터넷에 직접 열지 않기. 공유기·방화벽의 포트포워딩 규칙과 UPnP 자동 포트 개방을 함께 확인
- 제어판 > 외부 액세스에서 쓰지 않는 QuickConnect, DDNS, 라우터 자동 구성 끄기
- 원격 접속이 필요하면 VPN(VPN Server 패키지, WireGuard·Tailscale 등)을 거쳐서만 접속
- 제어판 > 보안 > 방화벽에서 내부망·지정 IP만 허용하고 나머지는 거부하는 규칙 적용
- 쓰지 않는 서비스(SSH, Telnet, FTP, SMB의 외부 노출, WebDAV 등) 비활성화
외부에서 실제로 열려 있는지는 다른 회선에서 직접 확인하는 것이 확실합니다.
# NAS 공인 IP를 외부 회선에서 점검 (본인 소유 장비에만 사용)
nmap -Pn -p 22,80,443,445,5000,5001,6690 <NAS_공인IP>③ 계정 보호
- 제어판 > 사용자 및 그룹에서 기본
admin계정 비활성화 (구버전에서 업그레이드한 장비는 아직 살아 있는 경우가 많음) - 관리자 계정은 다른 서비스와 겹치지 않는 긴 비밀번호 사용
- 제어판 > 보안 > 계정에서 관리자 그룹에 2단계 인증(OTP) 적용
- 제어판 > 보안 > 보호에서 자동 차단(로그인 실패 시 IP 차단)과 계정 보호 활성화
- 퇴사자·테스트용 등 쓰지 않는 계정 정리
④ 백업 분리
- 중요 데이터는 NAS와 분리된 저장소에 보관: 백업 후 분리하는 외장 디스크, 다른 NAS, 클라우드(Hyper Backup으로 C2·S3 등)
- Snapshot Replication의 변경 불가(Immutable) 스냅샷 사용 검토 (DSM 7.2 이상, 지정 기간 동안 관리자도 삭제 불가)
- 원본·백업 2개 이상, 서로 다른 매체, 1개는 오프라인 또는 원격에 두는 3-2-1 원칙 적용
- 분기 1회 이상 실제 복원 테스트
NAS에 상시 연결된 USB 디스크나 실시간 동기화 폴더는 랜섬웨어가 같이 암호화할 수 있으므로 “분리된 백업”으로 보지 않는 것이 좋습니다.
⑤ 점검 도구
- 보안 어드바이저(Security Advisor) 패키지로 정기 검사 실행. 취약한 설정, 의심 파일, 비정상 로그인을 함께 확인해 줍니다.
- 로그 센터에서 낯선 국가·IP의 로그인 성공 기록 확인
7. 감염이 의심될 때 대응 순서
당황해서 재부팅이나 초기화부터 하면 원인 분석과 복구 가능성이 모두 줄어듭니다. KISA 권고를 기준으로 순서를 정리하면 다음과 같습니다.
- 네트워크부터 끊기: 랜선을 뽑거나 스위치 포트를 차단합니다. 연결된 동기화(Synology Drive, Cloud Sync)와 백업 작업도 즉시 중단합니다.
- 전원은 유지: 불필요한 전원 종료·재부팅·DSM 업데이트는 피합니다. 메모리와 로그에 남은 흔적이 사라질 수 있습니다.
- 현장 보존: 랜섬노트, 암호화된 파일, 시스템·접속 로그를 그대로 둡니다. 임의 초기화, 포맷, 재설치, 암호화 파일 삭제·덮어쓰기는 하지 않습니다.
- 기록 남기기: 발견 시각, 장비 모델, DSM 버전, 지금까지 한 조치를 메모합니다.
- KISA 신고: 보호나라 > 침해사고 신고 > 신고하기 > 랜섬웨어 유형으로 신고하거나 국번 없이 118로 상담합니다. 이후 추가 조치는 KISA 안내에 따릅니다.
- 복구 업체 주의: 출처가 불분명한 복구 프로그램, 복구를 보장하며 선입금을 요구하는 사설 업체는 피합니다.
- 정리와 재발 방지: 분석이 끝난 뒤 모든 계정 비밀번호를 바꾸고, 낯선 계정·예약 작업을 제거하고, 최신 DSM으로 재구축한 다음 깨끗한 백업에서 복원합니다.
복구 비용을 지불해도 파일을 돌려받는다는 보장은 없습니다. 결국 감염 후 복구 가능성을 결정하는 것은 사전에 만들어 둔 분리 백업입니다.
마치며
이번 사례는 새로운 공격 기법보다 “오래 방치된 업데이트”와 “인터넷에 열린 관리화면”이 피해를 만든다는 점을 다시 보여 줍니다. 2024년에 나온 패치를 2년 가까이 적용하지 않은 장비가 지금 공격받고 있습니다.
오늘 할 일은 세 가지면 충분합니다. DSM 버전을 Update 번호까지 확인하고, 관리화면이 외부에 열려 있는지 점검하고, NAS 밖에 백업이 있는지 확인하세요.
참고자료
- KISA 보호나라, Synology 제품 보안 업데이트 권고 (2026-10-30)
- KISA 보호나라, Synology NAS 대상 랜섬웨어 공격 주의 권고 (2026-11-03)
- Synology-SA-26:13 DSM
- Synology-SA-24:20 DSM (Pwn2Own 2024)
- Synology-SA-26:14 PHP2Shell
- Synology 발표문: 보안 업데이트 적용 촉구 및 구버전 PHP2Shell 패치 확대 (2026-10-29)
- The Hacker News, Synology NAS Devices Targeted in Ransomware Attacks Exploiting Patched DSM Flaw
- CyberExperts, C3RB3R Ransomware Hits Synology NAS (Qihoo 360 분석 정리)