3줄 요약
- 10월 말 국내에서 시놀로지 NAS 파일을 잠그고 비트코인을 요구하는 랜섬웨어 피해가 잇따랐어요. 보안 업체와 시놀로지가 침입 경로로 지목한 건 PHP 취약점보다 이미 패치된 DSM(시놀로지 NAS 운영체제) 취약점이에요.
- PHP 취약점 PHP2Shell은 캘린더, 메일 스테이션, PHP 패키지를 설치한 NAS에서 문제가 돼요. 패키지 센터에서 이 셋이 깔려 있는지 보고, 있으면 업데이트하세요.
- 밖에서 NAS에 접속할 일이 없으면 QuickConnect와 공유기 포트포워딩을 먼저 꺼 두세요. 이미 파일이 잠겼다면 전원을 끄기 전에 네트워크 연결부터 끊으세요.
10월 28일 전후로 시놀로지 NAS에 저장한 사진과 문서가 열리지 않는다는 신고가 KISA에 들어오기 시작했어요. 파일 이름 끝에 '.L0CK3D'가 붙었고, 공격자는 0.036960비트코인(약 400만 원)을 요구했어요. 5일 안에 돈을 보내지 않으면 금액을 두 배로 올리겠다는 내용도 들어 있었어요.
같은 주에는 시놀로지 NAS가 PHP 취약점 PHP2Shell의 영향을 받는다는 소식도 나왔어요. KISA가 10월 29일 시놀로지 제품 보안 업데이트를 권고했어요. 그보다 앞선 10월 22일에는 이 PHP 취약점 때문에 민간 분야 사이버위기 경보가 '관심'에서 '주의'로 한 단계 올라갔고요. 두 소식이 한꺼번에 나오니 "PHP 취약점 때문에 랜섬웨어에 걸렸나" 헷갈리기 쉬워요. 웹사이트를 운영 중이라면 PHP2Shell 웹사이트 점검 글이 더 맞아요. 아래 내용은 집이나 작은 사무실에서 NAS를 쓰는 사람에게 맞췄어요.
함께 읽기PHP 취약점 PHP2Shell, 카페24·가비아 사이트는 괜찮을까
🔐 시놀로지 랜섬웨어는 PHP 취약점 때문일까
지금까지 나온 분석을 보면 침입 경로로 꼽히는 건 PHP2Shell보다 DSM 자체의 취약점이에요. 그러니 DSM도, 패키지도 업데이트해 두세요.중국 보안업체 360은 공격자가 9월에 고쳐진 DSM 취약점 두 건(CVE-2026-13639·CVE-2026-13684)을 뚫고 들어왔다고 판단했어요. 로그인하지 않은 외부 공격자도 파일을 읽고 쓸 수 있게 되는 결함이에요. 시놀로지는 10월 29일 보도자료에서 2024년 12월에 패치한 취약점으로 구버전 DSM을 노린 공격을 확인했다고 밝히고, 관련 권고 Synology-SA-24:20을 함께 안내했어요. 어떤 취약점이 쓰였는지는 두 곳 설명이 엇갈리지만, 업데이트하지 않은 DSM을 지목한 건 같아요.
보도에 따르면 PHP2Shell과 이번 피해가 관련 있는지는 아직 확인되지 않았어요. 침입 경로와 실제 피해 규모도 더 조사해 봐야 해요.
DSM 버전은 제어판의 업데이트 및 복원 화면에 나와요. 9월 취약점을 막으려면 DSM 7.4는 7.4-90075, 7.3은 7.3.2-86009-4, 7.2.2는 7.2.2-72806-9, 7.2.1은 7.2.1-69057-12 이상이어야 해요. 같은 화면의 업데이트 설정에서 중요 업데이트 자동 설치를 켜 두면 보안 패치가 나올 때마다 저절로 설치돼요. 7.2.1보다 오래된 DSM은 9월 권고 표에 아예 나오지 않아요. 이런 버전을 쓰고 있다면 지금 기기에서 올릴 수 있는 가장 높은 버전까지 올려 두세요.
📦 시놀로지 PHP 취약점, 설치된 패키지부터 확인하기
시놀로지 캘린더, 메일 스테이션, PHP 7.3~8.4 패키지 가운데 하나라도 설치돼 있으면 이번 권고 대상이에요. 셋 다 없다면 신경 쓰지 않아도 괜찮아요.DSM에도 PHP가 기본으로 들어 있지만, 시놀로지는 이 PHP가 외부 공격에 노출되지 않아 악용될 위험이 매우 낮다고 판단했어요. 따져 볼 건 패키지 센터에서 따로 설치한 앱이에요. 권고문에 이름이 올라간 하이퍼 백업은 영향 없음으로 표시돼 있어요.
- DSM에 관리자 계정으로 로그인해 패키지 센터를 열고, 설치된 패키지에 Synology Calendar, Mail Station, PHP가 있는지 확인해요.
- 있다면 업데이트해요. DSM 7.2 이상에서 해결 버전은 캘린더 3.0.4-21435, 메일 스테이션 30000002.3.19-20333, PHP 8.2는 8.2.35-0171, 8.3과 8.4는 각각 8.3.36-0051, 8.4.27-0051 이상이에요. DSM 7.0~7.1과 6.2는 번호가 다르니 위 표에서 내 DSM 버전 줄을 찾아 비교해 보세요.
- PHP 7.3은 수정 버전이 나오지 않아요. 지원 중인 PHP 버전으로 바꿔야 해요.
- 패키지 센터 설정에서 자동 업데이트를 켜 두면 다음 패치 때는 따로 챙길 일이 줄어요.
워드프레스와 웹스테이션을 영향 대상으로 꼽은 보도도 있었지만, 11월 3일 기준 시놀로지 권고문 표에는 두 이름이 없어요. NAS에서 워드프레스 사이트를 운영한다면 같이 설치된 PHP 패키지 버전을 위 표와 비교해 보세요.
🌐 NAS 랜섬웨어를 막는 외부 접속 점검법
NAS를 밖에서 쓸 일이 없다면 인터넷에서 들어오는 길을 닫아 두는 게 가장 확실해요.시놀로지도 꼭 필요한 경우가 아니면 DSM을 인터넷에 노출하지 말고, 밖에서 파일을 써야 할 때는 VPN으로 연결하라고 권해요. 집에서 쓰는 NAS가 밖으로 열리는 경로는 보통 두 가지예요. 첫째는 QuickConnect예요. 포트를 열지 않고도 인터넷에서 NAS에 접속할 수 있게 해 주는 기능으로, 제어판 > 외부 액세스 > QuickConnect에서 켜고 끌 수 있어요. 둘째는 공유기 포트포워딩이에요. 제어판 > 외부 액세스 > 라우터 구성에서 NAS가 만든 규칙을 볼 수 있지만, 공유기 관리 화면에서 직접 연 규칙은 따로 확인해야 해요.
밖에서 꼭 접속해야 한다면 필요한 포트만 열고, DSM 방화벽으로 접속 가능한 IP를 좁혀 두세요. 자동 차단, 계정 보호, 2단계 인증이 켜져 있는지도 함께 확인하세요.
🚨 NAS 랜섬웨어에 감염된 것 같을 때
전원을 끄기 전에 NAS를 네트워크에서 먼저 떼어 내세요. 잠긴 파일은 미리 만들어 둔 백업이나 스냅샷으로 복구해야 해요.파일 확장자가 갑자기 바뀌었거나 폴더에 모르는 텍스트 파일이 생겼다면 NAS 랜선을 뽑아 네트워크에서 분리하세요. 시놀로지는 네트워크 분리가 불가능할 때만 전원을 끄라고 안내해요. 전원을 끄면 메모리에 남아 있던 감염 흔적이 지워지기 때문이에요. KISA도 침해가 의심되는 서버는 끄거나 재시작하지 말고, 외부 접속만 막은 다음 로그와 실행 중인 프로그램 목록, 네트워크 연결 정보부터 보존하라고 해요.
다음은 신고예요. 보호나라(boho.or.kr) 침해사고 신고 메뉴를 쓰거나 국번 없이 118에 전화하면 돼요. 시놀로지 기술지원팀에 문의한다면 DSM 버전, 설치된 패키지 목록, 문제를 처음 발견한 시각, 협박문 파일을 챙겨 두세요. 원인을 찾는 데 도움이 돼요.
복구할 수 있는지는 백업에 달렸어요. 시놀로지는 잠긴 파일을 백업이나 스냅샷으로 되살리라고만 했고, 암호를 풀어 주는 도구는 내놓지 않았어요. 백업이 NAS 안에만 있으면 랜섬웨어가 백업본까지 잠글 수 있어요. 시놀로지 권고대로 네트워크와 떨어진 오프라인 백업을 하나 더 만들고, 가끔 직접 복원해 보며 제대로 되살아나는지 확인해 두세요.
자주 묻는 질문
시놀로지 랜섬웨어에 걸린 파일, 돈을 내면 되찾을 수 있나요?
되찾는다는 보장은 없어요. 공격자는 'C3RB3R DECRYPTOR'라는 복호화 프로그램을 사라고 했지만, 돈을 내고 파일을 되찾았다는 사례는 보도에 나오지 않았어요. 시놀로지는 랜섬웨어 종류에 따라 보안 연구자가 이미 암호를 푼 경우도 있으니 수사기관에 복호화 도구가 있는지 문의해 보라고 안내해요.
PHP2Shell 공격이 실제로 일어나고 있나요?
KISA는 보안 업데이트가 나오기 전에 취약점 정보가 먼저 유출됐고, 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔어요. KISA 설명으로는 공격이 성공하면 원격조종 파일이 심어지거나 정보가 빠져나갈 수 있어요. 시놀로지 NAS가 이 취약점으로 뚫린 사례는 아직 확인되지 않았어요.
큐냅 등 다른 회사 NAS도 이번 PHP 취약점 영향을 받나요?
11월 3일 기준으로 KISA 보안공지 목록에 오른 이번 PHP 취약점 관련 NAS 제품 권고는 시놀로지 건 하나뿐이에요. 다른 회사 NAS라면 제조사 보안 공지를 직접 찾아봐야 해요. KISA는 PHP가 들어간 장비를 쓰고 있다면 제조사에 조치했는지 확인하고, 안 했다면 요청하라고 안내했어요.
