An der Universität Leipzig ist die Nachricht am 1. November 2026 angekommen, wie solche Nachrichten eben ankommen: zwischen Vorlesung, Mensa und dem kurzen Blick aufs Handy. Seit Anfang Oktober verschlüsselt die Ransomware C3RB3R Dateien auf Synology-NAS-Systemen. Synology bestätigte die Angriffe am 29. Oktober 2026 und fordert Nutzer älterer DSM-Versionen zu sofortigen Updates auf.

Besonders gefährdet sind Geräte, deren DSM-Oberfläche aus dem Internet erreichbar ist, Systeme ohne das Update vom September 2026 und NAS-Geräte, die keine Sicherheitsupdates mehr erhalten. Erste dokumentierte Schadensmeldungen stammen aus Südkorea. Betroffen sein können grundsätzlich aber auch Deutschland, Österreich und die Schweiz.

Was bisher über C3RB3R bekannt ist

C3RB3R wird der bekannten Cerber-Ransomware-Familie zugerechnet. Verschlüsselte Dateien erhalten die Endung .L0CK3D. In betroffenen Ordnern liegt die Lösegelddatei read-me3.txt. Sie verweist auf eine Tor-Webseite, auf der Bitcoin verlangt wird.

Nach vorliegenden Analysen nutzt die Malware ChaCha8 zur Dateiverschlüsselung und RSA-2048 zum Schutz der Schlüssel. NAS-Geräte sind für Angreifer attraktiv: Dort liegen häufig geschäftskritische Dokumente, dauerhaft laufende Dienste und angeschlossene Backups. Viele Verwaltungsoberflächen werden für den Fernzugriff ins Internet gestellt und dann jahrelang nicht aktualisiert – ein Klassiker, leider.

Die zeitliche Abfolge ist auffällig. Im Dezember 2024 wurde ein Patch für CVE-2024-10441 veröffentlicht. Am 18. September 2026 folgten unter Synology-SA-26:13 Patches für CVE-2026-13639 und CVE-2026-13684. Laut der Sicherheitsfirma 360 begannen die Verschlüsselungsangriffe etwa zwei Wochen später, Anfang Oktober 2026. Um den 28. Oktober wurden erste Schäden aus Südkorea bekannt, am 29. Oktober bestätigte Synology die Angriffe. Am 31. Oktober gab es Berichte über Schutzmaßnahmen und weiterhin offene Fragen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Das Advisory Synology-SA-26:13 ist laut Synology behoben und als kritisch eingestuft. Es wurde am 18. September 2026 veröffentlicht und zuletzt an diesem Tag aktualisiert. Neben den beiden zentral diskutierten Lücken listet es weitere Schwachstellen auf. Je nach Berechtigungsstufe konnten Angreifer beliebige Dateien lesen oder schreiben, Denial-of-Service-Angriffe durchführen, nicht sensible Informationen auslesen oder begrenzte Dateien schreiben, wenn ein Opfer eine Freigabe-URL aufruft.

Schwachstelle Bewertung und mögliche Folgen
CVE-2026-13684 Kritisch, CVSS 9,8: Fehlerhafte Kodierung oder Maskierung von Ausgaben in der SCGI-Komponente. Nicht authentifizierte Remote-Angreifer können beliebige Dateien lesen oder schreiben und Denial-of-Service-Angriffe durchführen.
CVE-2026-13639 Kritisch, CVSS 9,8: Unzureichende Entropie in der Login-Logik. Nicht authentifizierte Remote-Angreifer können beliebige Dateien lesen oder schreiben und Denial-of-Service-Angriffe durchführen.
CVE-2026-13673 Wichtig, CVSS 8,8: Fehlerhafte Berechtigungszuweisung für eine kritische Ressource in der LDAP-API. Authentifizierte Remote-Nutzer können beliebige Dateien lesen oder schreiben und Denial-of-Service-Angriffe durchführen.
CVE-2026-6205 Wichtig, CVSS 8,1: Externe Steuerung eines Datei- oder Pfadnamens in der Upload-API. Authentifizierte Remote-Nutzer können beliebige Dateien schreiben und Denial-of-Service-Angriffe durchführen.
CVE-2026-13635 Mittel, CVSS 5,3: Fehlerhafte Kodierung oder Maskierung von Ausgaben in der Auth-API. Nicht authentifizierte Remote-Angreifer können nicht sensible Informationen erlangen.
CVE-2026-13623 Mittel, CVSS 4,8: Cross-Site-Scripting in der Theme-API. Authentifizierte Remote-Nutzer mit Administratorrechten können begrenzte Dateien lesen oder schreiben.
CVE-2026-13666 Niedrig, CVSS 3,5: CRLF-Injection in der Sharing-API. Authentifizierte Remote-Nutzer können begrenzte Dateien schreiben, wenn ein Opfer eine Freigabe-URL anklickt.
CVE-2026-13683 Niedrig, CVSS 2,7: SQL-Injection in der EventScheduler-API. Authentifizierte Remote-Nutzer mit Administratorrechten können nicht sensible Informationen auslesen.

Die beiden neuen Schwachstellen CVE-2026-13639 und CVE-2026-13684 haben jeweils einen CVSS-Wert von 9,8. Beide sind über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion ausnutzbar. Bei CVE-2026-13639 geht es um unzureichende Entropie in der Anmeldelogik, CWE-331. Das kann das Erraten oder Nachberechnen sicherheitsrelevanter Werte ermöglichen. CVE-2026-13684 betrifft eine fehlerhafte Ausgabekodierung in SCGI, CWE-116. Die SCGI-Komponente leitet Webanfragen an interne DSM-Dienste weiter; die Lücke kann zu Befehlsausführung oder Datenzugriff führen.

Synology nennt keinen Ersatz für das Update. Als Abhilfe wird ausschließlich die Aktualisierung auf eine korrigierte Version empfohlen. Das Advisory nennt dafür mindestens:

  • DSM 7.4: 7.4-90075 oder höher
  • DSM 7.3: 7.3.2-86009-4 oder höher
  • DSM 7.2.2: 7.2.2-72806-9 oder höher
  • DSM 7.2.1: 7.2.1-69057-12 oder höher

Ältere Builds gelten hinsichtlich der beiden September-Schwachstellen als gefährdet. Die Build-Nummer findet sich in DSM unter Systemsteuerung → Update und Wiederherstellung. Geräte ohne verfügbaren DSM-Sicherheitsstand sollten aus dem Internet genommen werden.

Ganz so glatt ist die Erklärung des Angriffswegs allerdings nicht. 360 macht die beiden September-Lücken verantwortlich. Synology verweist darauf, dass für die ausgenutzten Schwachstellen bereits seit Dezember 2024 ein Patch verfügbar sei – gemeint ist CVE-2024-10441, das ebenfalls mit CVSS 9,8 bewertet wird. Solar dokumentierte außerdem ein Opfer mit damals aktuellem DSM 7.4.1 und vermutet deshalb einen weiteren, möglicherweise unbekannten Angriffsweg.

Ein einzelner Fall könnte auch durch eine fehlerhafte Update-Installation, ein ungepatchtes Paket oder zuvor gestohlene Zugangsdaten erklärbar sein. Der Bericht über einen am 25. Oktober veröffentlichten Exploit stammt nur aus einer Quelle und ist unbestätigt. Für die Praxis ändert das wenig: Zugriff schließen, aktualisieren, Passwörter ändern und die Backup-Strategie prüfen.

Lösegeld, Opfer und die Lage im DACH-Raum

Die anfängliche Forderung beträgt laut Medienberichten innerhalb von fünf Tagen 0,036960 Bitcoin – etwa 2.952 US-Dollar beziehungsweise 3,9 Millionen Won. Danach sollen 0,073920 Bitcoin fällig werden, etwa 5.904 US-Dollar beziehungsweise 7,9 Millionen Won. Ein öffentliches Entschlüsselungsprogramm ist derzeit nicht bekannt.

Offenbar setzen die Angreifer auf viele kleinere Opfer statt auf einzelne Großunternehmen. Sicherheitsbehörden und Fachleute raten grundsätzlich von Lösegeldzahlungen ab: Eine Entschlüsselung ist nicht garantiert, und jede Zahlung kann weitere Angriffe finanzieren.

Die südkoreanische Behörde KISA bestätigte eingegangene Meldungen, veröffentlichte aber keine Opfer- oder Schadenszahlen. Auch Synology und andere Behörden nannten bislang keine Gesamtzahl. Für Deutschland, Österreich und die Schweiz liegen in dem Bericht keine bestätigten C3RB3R-Fälle vor. Das ist ausdrücklich kein Beleg für Sicherheit.

Zur Einordnung: Laut integrisec.de wurden in Deutschland von Januar bis Ende Oktober 2026 mehr als