Synology DSM のランサムウェア攻撃ほか3件 — 11月3日の脆弱性まとめ（悪用確認2件）

Synology の NAS（DSM）を古い版のまま使っている会社は、今日中に DSM を更新し、管理画面をインターネットに公開していないか確認する。Synology は10月29日、古い DSM を狙ったランサムウェア攻撃（C3RB3R）が起きていると警告した。自社で GitLab を動かしている会社は、更新に加えて Ruby の修正も入っているかを確認する（CVE-2026-97229、CVSS 10.0）。 Linux カーネルの CVE-2026-98432（CVSS 9.8）は、11月3日時点でも Ubuntu と Red Hat の修正版が出ていない。あわせて TeamViewer の更新（15.83）も整理した。CISA KEV の新規追加は10月30日以降なく、今回取り上げる4項目のうち、悪用が確認されているのは2項目である。

11月3日（JST）に確認した各社の公式ページと CISA KEV（10月30日版）に基づく。Synology は攻撃に使われた CVE を公表していないため「公表なし」とし、報道の内容は一次情報と分けて記す。明記のない点は「記載なし」とする。

Synology は10月29日付のお知らせで、2024年12月に修正済みの脆弱性を悪用して、古い DSM を搭載した NAS のデータを暗号化し、身代金を要求する攻撃が起きていると警告した。対処として、DSM をすぐ更新すること、自動更新を有効にすることを求めている。どの欠陥が使われたかは、お知らせ本文には書かれていない。お知らせは、2024年11月公開のセキュリティ勧告 SA-24:20 へリンクしている。

- 深刻度: SA-24:20 には3件の CVE がある。CVE-2024-10441（遠隔からのコード実行、CVSS v3.1 で 9.8 Critical）、CVE-2024-50629（限定的なファイルの読み取り、5.3 Moderate）、CVE-2024-10445（限定的なファイルの書き込み、4.3 Moderate）。この3件のどれが実際の攻撃に使われたかは、Synology は公表していない
- 影響: 勧告の修正版より古い DSM。DSM 7.2.2、7.2.1、7.2、7.1、6.2 の各系統が対象で、BeeStation OS も 1.1-65374 より前が対象
- 修正版: DSM 7.2.2-72806-1、7.2.1-69057-6、7.2-64570-4、7.1.1-42962-7（以上、いずれも以降）、DSM 6.2.4-25556-8 以降
- 悪用: お知らせに「攻撃が起きている」と明記。ただし CISA KEV には、SA-24:20 の3件は載っていない。暗号化されたファイルには「.L0CK3D」の拡張子が付き、「read-me3.txt」という脅迫文が置かれると、報道は伝えている（BleepingComputer、Synology の追加コメントに基づく）

確認方法: DSM の「コントロールパネル」→「更新と復元」で版を確認し、更新がある場合は適用する。NAS をルーターのポート開放で外部に公開している場合は、管理画面（5000／5001番など）に外から入れないようにする。NAS の費用や選び方は中小企業のファイルサーバー・NAS の費用、ランサムウェアにあった時の動き方は中小企業のランサムウェア対策の基本を参照。公式: Synology のお知らせ、SA-24:20

10月26日に PHP 本体の欠陥として整理した CVE-2026-109618／109619（PHP の対処記事）について、Synology が勧告 SA-26:14（PHP2Shell）で、自社パッケージの修正版を公表している。10月22日に公開され、10月31日に Calendar と Mail Station（DSM 6.2・7.0・7.1 向け）が追加された。

- 修正版: Calendar 3.0.4-21435 以降（DSM 7.2 以降）、Mail Station 30000002.3.19-20333 以降（DSM 7.2 以降）、PHP 8.2 は 8.2.35-0171 以降、PHP 8.4 は 8.4.27-0051 以降など。PHP 7.3 は修正なし（サポート終了）
- 悪用: SA-26:14 に記載なし。PHP 本体の2件は CISA KEV に10月26日付で掲載されている

確認方法: DSM の「パッケージセンター」で、Calendar・Mail Station・PHP のパッケージに更新がないか見る。使っていない PHP パッケージは削除する。公式: Synology SA-26:14

GitLab の CI/CD 設定にある正規表現の処理に、整数オーバーフローの欠陥がある。認証なしの攻撃者が、細工した正規表現でサーバー上のコードを実行できる可能性がある。修正は10月12日に公開され、10月29日に CISA KEV に追加された（10月30日版の記事でも整理済み）。新しい事実は、Alpine Linux が公表した自社 GitLab への攻撃の経過である。

- 深刻度: CVSS v3.1 で 10.0（Critical）。付与元は GitLab。ベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 影響: 19.2 系は 19.2.8 より前、19.3 系は 19.3.5 より前、19.4 系は 19.4.2 より前（GitLab の勧告）
- 修正版: 19.4.2・19.3.5・19.2.8。GitLab.com は対応済みで、GitLab Dedicated の利用者は対応不要
- Alpine の経過: 10月13日に誤って 19.3.4 へ更新。10月20〜21日に攻撃者が細工した CI 設定を送り、ワーカーが8回停止。10月22日に 19.3.6 へ更新したが、修正は GitLab 本体ではなく Ruby（正規表現エンジン Onigmo）側にあり、Alpine 独自の構成では直っていなかった。Alpine は侵害を確認していないが、ログが足りず否定できないとして、環境を作り直した
- 悪用: CISA KEV 掲載。報道は、Shadowserver が11月1日（日）時点で未修正の公開インスタンスを1,000台超と報告したと伝えている（BleepingComputer）

確認方法: 管理画面の「ヘルプ」ページで GitLab の版を確認する。公式のパッケージやコンテナではなく、自前で組み立てた環境の場合は、Ruby の版も確認する。外部公開していた期間があれば、パスワードの入れ替えと、ログの点検を検討する。公式: GitLab のパッチリリース、Alpine の公表

11月1日のまとめで整理した、IPv4 TCP 処理の use-after-free（認証なしで遠隔から突ける、CVSS 9.8）の続報である。詳しい仕組みは11月1日のまとめを参照。11月3日に両社の公式ページを確認した結果、修正版はまだ出ていない。

- Ubuntu: 優先度は High、CVSS 9.8。ページは11月3日更新。24.04 LTS・22.04 LTS・26.04 LTS のカーネルは「脆弱・作業中」。20.04 LTS 以前の標準カーネルは「脆弱」。AWS・Azure・GCP 向けなどのカーネルも、多くが脆弱または作業中
- Red Hat: セキュリティ速報 RHSB-2026-016 は「継続中」で、11月2日に更新された。修正の公開は「急いでいる」とのみ記載。悪用の有無は書かれていない
- 暫定策: Red Hat は、IP オプション付きの IPv4 TCP パケットを破棄する nftables の規則を公開している。露出を減らすが、完全な対策ではなく、業務に影響し得るため、本番前に試験する。OpenShift は、ノード側の規則では Pod 間の通信を防げず、案内は検討中
- 悪用: CISA KEV 未掲載（10月30日版）

遠隔操作ツールの TeamViewer が、10月27日付（10月28日更新）のセキュリティ速報 TV-2026-1011 で3件の脆弱性を公表した。公開は24時間より前だが、これまでのまとめでは扱っておらず、中小企業での利用が多いため載せる。TeamViewer は、公開時点で悪用を把握していないと説明している。

- CVE-2026-92372（CVSS 8.8、High）: Linux・macOS 版の画面画像デコーダーの境界外書き込み。細工した画面データや、悪意ある .tvs（セッション録画）ファイルを開かされるとコード実行に至り得る。ユーザー操作が必要。15.83 より前
- CVE-2026-111585（CVSS 8.8、High）: 画面処理の整数オーバーフロー。フルクライアント・Portable・Android のリモートコントロールアプリが対象。悪意あるホストに接続すると、サービス拒否、環境によってはコード実行の可能性。15.83 より前
- 修正版: 15.83（旧系統向けの修正版は速報を参照）
- 悪用: TeamViewer は把握していないと説明。KEV 未掲載。回避策は更新以外の記載なし

確認方法: TeamViewer を起動し、「ヘルプ」→「TeamViewer について」で版を確認する。15.83 より前なら更新する。知らない相手の接続先や、出所の分からない .tvs ファイルは開かない。公式: TeamViewer TV-2026-1011

- 会社に NAS（特に Synology）があるか、担当か委託先に確認する。あれば DSM の版を確認し、古ければ今日更新する
- NAS の管理画面が、ルーターの設定でインターネットに公開されていないかを確認する。公開されていれば止める
- NAS のバックアップが、NAS 自身とは別の場所（外付けディスクやクラウド）にもあるかを確認する
- 自社で GitLab を動かしている場合は、版が 19.4.2・19.3.5・19.2.8 以降か確認する。自前でコンテナを組んでいる場合は、Ruby も更新されているかを委託先に確認する
- Linux サーバーを使っている場合は、Ubuntu・Red Hat 系の修正カーネルが出た日に更新できるよう、担当と時間帯を決めておく
- TeamViewer を使っている人に、15.83 以降へ更新するよう伝える
- 対応した日付と担当者を記録する

関連記事: 11月1日のまとめ（Linux CVE-2026-98432）、10月30日のまとめ（GitLab CVE-2026-97229）、Ivanti Connect Secure の悪用確認と対処。自社の脆弱性診断の費用感は脆弱性診断の費用を参照。

- Synology: DSM 更新のお知らせ（C3RB3R）
- Synology-SA-24:20
- Synology-SA-26:14（PHP2Shell）
- BleepingComputer: Synology warns customers of ongoing C3RB3R ransomware attacks
- GitLab: 19.4.2・19.3.5・19.2.8 パッチリリース
- Alpine Linux: GitLab security incident
- BleepingComputer: Over 1,000 GitLab servers vulnerable
- Ubuntu: CVE-2026-98432
- Red Hat: RHSB-2026-016
- TeamViewer: TV-2026-1011
- CISA KEV
- Debian セキュリティトラッカー（CVE-2026-98432。bookworm は DLA-4841-1、trixie は DSA-6568-1 で修正済み）: https://security-tracker.debian.org/tracker/CVE-2026-98432