対象：Synology製NAS（DiskStation、BeeStationなど）を、自宅、事務所、店舗、小さな会社で使っている人と、その管理を任されている人。本記事はSynologyの公式発表とセキュリティ勧告にもとづく解説で、攻撃の手順や攻撃コードは載せません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Synology製NAS（DiskStation、BeeStationなど）を、自宅、事務所、店舗、小さな会社で使っている人と、その管理を任されている人。
- 影響が確認された範囲表で見る ↓
- 古いDSMを狙う攻撃
- 攻撃の目的
- 修正版
さらに1件
- 回避策
- 未確認事項
- 悪用されている脆弱性（SA-24:20の3件のうちどれか。Synologyは書いていない）
- 攻撃の規模と被害の数
- 悪用された機器のDSMの版
さらに2件
- 別の企業が挙げた脆弱性についてのSynologyの見解
- SA-26:13と今回の攻撃との関係（Synologyは結びつけていない）
- 今やること手順を見る ↓
- DSMの版を確かめる
- 修正版以降へ更新する
- 自動更新を有効にする
さらに4件
- 管理画面を、インターネットに公開しない
- NASと別の場所に、書き換えられないバックアップを持つ
- 見覚えのない管理者アカウントがないか確かめる
- 更新できない古い機種は、外から切り離すか入れ替える
- 最終確認日時
- 2026年11月3日（日本時間）時点
発表の続報予定と確認の記録
Synologyは10月29日、プレスリリースで攻撃の確認と更新の呼びかけを出しました。11月3日に、Synologyの日本語・英語のプレスリリースと、SA-24:20、SA-26:13を確認しました。11月3日時点で、プレスリリースの追加の更新は見つかっていません。
今日やること
DSMの版を確かめる
DSMにログインし、「コントロールパネル」→「更新と復元」で、今の版を見ます。新しい版が提示されていれば、そのまま更新の対象です。Synologyは、脆弱性のあるバージョンを実行しているすべてのユーザーに、直ちに更新するよう強く勧めています。
修正版以降へ更新する
SA-24:20が示す修正版は、DSM 7.2.2が7.2.2-72806-1以降、7.2.1が7.2.1-69057-6以降、7.2が7.2-64570-4以降、7.1が7.1.1-42962-7以降、6.2が6.2.4-25556-8以降です。これが最低限です。そのうえで当サイトは、2026年9月のSA-26:13の修正版以降への更新を勧めます（DSM 7.4が7.4-90075以降、7.3が7.3.2-86009-4以降、7.2.2が7.2.2-72806-9以降、7.2.1が7.2.1-69057-12以降）。7.2.2を使っている場合は、-1ではなく-9以降です。DSM 7.2、7.1、6.2はSA-26:13の一覧にないので、SA-24:20の修正版が最低限で、機種が許せば、サポートされている新しい系統のDSMへ移ります。移れない機種は、インターネットから切り離すか買い替えます。更新の前に、重要なデータのバックアップを取ります。
自動更新を有効にする
Synologyは、DSMを最新に保つため、自動更新を有効にすることを勧めています。同じ画面の更新の設定で確かめます。
管理画面を、インターネットに公開しない
ルーターで、DSMの管理画面（既定では5000番・5001番）をインターネットに開けていないかを確かめます。外から使う必要があるなら、NASを直接公開せず、VPNを使います（VPN機器の守り方）。これはSynologyの発表にはない、当サイトの推奨です。
NASと別の場所に、書き換えられないバックアップを持つ
NASの中のスナップショットは、NASが乗っ取られると一緒に消されるおそれがあります。Hyper Backupなどで、別の機器やクラウドに、NASから書き換えられない形で保存します（バックアップと復旧の基本）。復元できることも、一度試して確かめます。
見覚えのない管理者アカウントがないか確かめる
「コントロールパネル」→「ユーザーとグループ」で、管理者の権限を持つアカウントを見ます。身に覚えのないアカウントがあれば、攻撃を受けた可能性を考え、更新の前後にSynologyのサポートや専門の事業者に相談します（当サイトの判断）。管理者アカウントには2段階認証を設定します。
更新できない古い機種は、外から切り離すか入れ替える
SA-24:20の修正版に上げられない、またはメーカーのサポートが終わった機種は、インターネットから切り離すか、買い替えます（当サイトの判断）。
1. DSMを更新する
修正版以降へ。自動更新も有効に（Synologyの呼びかけ）
2. 外に開けない
管理画面は公開せず、外からはVPN（当サイトの推奨）
3. 別の場所に退避
書き換えられないバックアップを、NASの外に（当サイトの推奨）
Synologyの発表の内容
- 見出し
- 「Synology、古いDSMバージョンを対象としたランサムウェア攻撃に対し、DSMの更新を推奨」
- 攻撃
- 2024年12月に修正された脆弱性を悪用し、古いバージョンのDSMを実行している機器を標的にする攻撃者を確認した。データを暗号化し、身代金を要求することが目的としている
- 呼びかけ
- 脆弱性のあるバージョンのすべての利用者に、直ちにDSMを更新するよう強く推奨。自動更新の有効化も推奨している
- 参照先
- 詳細はSynology-SA-24:20を参照するとしている
- 書かれていないこと
- CVE番号、ランサムウェアの名前、被害の数、攻撃者についての記載はない
「2024年12月に修正された」という書き方は、SA-24:20の改訂履歴と合っています。勧告は2024年11月5日に公開され、2024年12月5日の改訂でDSM 6.2の更新が加わりました（当サイトによる読み合わせで、Synologyが結びつけたものではありません）。
- 状態
- 深刻度は「Critical」、状態は「Resolved」、回避策（Mitigation）は「なし」。公開は2024年11月5日、最終更新は2025年3月28日
- CVE-2024-10441
- システムのプラグインのデーモンにある出力の処理の欠陥。遠隔の攻撃者が任意のコードを実行できる。CVSS v3で9.8（Critical）。説明文はBeeStation OS（BSM）の1.1-65374より前も対象に挙げている
- CVE-2024-50629
- webapiの出力の処理の欠陥。遠隔の攻撃者が、限られたファイルを読める。深刻度はModerate（5.3）。BSMの1.1-65374より前も対象
- CVE-2024-10445
- 更新機能の証明書の検証の不備。限られたファイルを書き込める。攻撃者が隣接するネットワーク上にいる必要がある（CVSSのAV:A）。深刻度はModerate（4.3）。BSMの1.1-65374より前も対象
- どれが悪用されているか
- Synologyは、3件のうちどれが悪用されているかを書いていない
修正版の一覧（SA-24:20より）
| DSMの系統 | 深刻度 | 修正版 |
|---|---|---|
| DSM 7.2.2 | Critical | 7.2.2-72806-1 以降 |
| DSM 7.2.1 | Critical | 7.2.1-69057-6 以降 |
| DSM 7.2 | Critical | 7.2-64570-4 以降 |
| DSM 7.1 | Critical | 7.1.1-42962-7 以降 |
| DSM 6.2 | Moderate | 6.2.4-25556-8 以降 |
CVEごとの説明文が挙げる版は同じではありません。CVE-2024-10441の説明文はDSM 7.2系以降の版を挙げ、7.1と6.2は挙げていません。ただ、悪用されている脆弱性が特定されていない以上、自分の系統の修正版以降へ上げるのが確実です。BeeStationを使っている場合は、BSMを1.1-65374以降にします（勧告のCVE説明文より。BSMの修正版の表記は勧告で確かめてください）。表にない系統を使っている場合は、Synologyの勧告ページで確認してください。
報道と、分かっていないこと
海外の報道（11月2日）によると、別のセキュリティ企業は、SA-24:20とは別のDSMの脆弱性を挙げています。Synologyはそれに触れておらず、食い違いは解決していません。当サイトは、どの脆弱性が使われているかについて、Synologyの発表を超えて書きません。
- 状態
- 深刻度は「Critical」、状態は「Resolved」、回避策（Mitigation）はなし。CVEは計8件
- 主な内容
- 認証なしで遠隔からファイルを読み書きできる、CVSS 9.8（Critical）の欠陥が2件。CVE-2026-13684（SCGI）とCVE-2026-13639（ログインの処理）
- ランサムウェアとの関係
- Synologyは、SA-26:13を今回のランサムウェア攻撃と結びつけていない
最新の修正版の一覧（SA-26:13より）
| DSMの系統 | 修正版 |
|---|---|
| DSM 7.4 | 7.4-90075 以降 |
| DSM 7.3 | 7.3.2-86009-4 以降 |
| DSM 7.2.2 | 7.2.2-72806-9 以降 |
| DSM 7.2.1 | 7.2.1-69057-12 以降 |
SA-26:13はSA-24:20とは別の勧告で、今回の攻撃との関係をSynologyは述べていません。ただ、DSMにはその後に別の深刻な欠陥が見つかり直っているため、SA-24:20の修正版で止めず、SA-26:13の修正版以降まで上げることを、当サイトは推奨します（当サイトの判断）。DSM 7.2、7.1、6.2はSA-26:13の一覧にありません。この系統のNASは、SA-24:20の修正版が最低限で、機種が許せばサポートされている新しい系統のDSMへ移り、移れなければインターネットから切り離すか買い替えます（当サイトの推奨）。
経過
2024年11月5日
Synologyが、SA-24:20「DSM（PWN2OWN 2024）」を公開。2024年12月5日
SA-24:20が改訂され、DSM 6.2の更新が加わる（改訂履歴）。2025年3月28日
SA-24:20の最終更新。2026年9月18日
SynologyがSA-26:13「DSM」（Critical）を公開。2026年10月29日
Synologyが、古いDSMを狙うランサムウェア攻撃を確認したとして、DSMの更新を呼びかけ。2026年11月3日
当サイトが、日本語・英語のプレスリリースとSA-24:20を確認。
分かっていること・分かっていないこと
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 古いDSMを狙う攻撃 | 攻撃者を確認したとSynologyが発表（10月29日） | 確定 |
| 攻撃の目的 | データを暗号化し、身代金を要求すること（Synologyの説明） | 確定 |
| 悪用されている脆弱性 | 「2024年12月に修正された脆弱性」。CVE番号の記載はない | 発表の文言どおり（特定されていない） |
| SA-24:20の3件のうちどれか | 記載なし | 公表なし |
| 修正版 | SA-24:20に系統ごとの一覧 | 確定 |
| 回避策 | SA-24:20のMitigationが「None」 | 確定（なし） |
| 被害の数、悪用された機器の版 | 記載なし | 公表なし |
| ランサムウェアの名前、攻撃者 | Synologyの発表には記載なし | 公表なし |
| 別の企業が挙げる別の脆弱性 | 報道のみ。Synologyは触れていない | 未確認（報道のみ） |
出典
2026年11月3日（日本時間）に確認しました。
- Synology「Synology、古い DSM バージョンを対象としたランサムウェア攻撃に対し、DSM の更新を推奨」（2026年10月29日） — synology.com（日本語）
- Synology「Synology urges users to update DSM following ransomware attacks on outdated DSM versions」（英語版） — synology.com（英語）
- Synology「Synology-SA-26:13」（セキュリティ勧告） — synology.com
- Synology「Synology-SA-24:20」（セキュリティ勧告） — synology.com
更新履歴
2026-11-03：初版。Synologyのプレスリリース（日英）とSA-24:20にもとづく。
次に読む
- バックアップの作り方：バックアップの基本：3-2-1ルールとランサムウェアに耐える復元計画
- 外に公開した機器の守り方：VPN機器はランサムウェアの主な侵入口：リモートアクセスの守り方
- 更新の優先順位：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 対応手順：脆弱性が公表されたときの対応手順
- 用語：ランサムウェアとは