PHP2Shell und L0CK3D-Ransomware: Ist Ihr Synology-NAS betroffen?
Seit Ende Oktober 2026 häufen sich auf Reddit und in Synology-Foren Hilferufe: Dateien auf dem NAS tragen plötzlich die Endung .L0CK3D, daneben liegt ein Erpresserbrief namens read-me3.txt. Gleichzeitig sorgt PHP2Shell für Unruhe, zwei kritische Sicherheitslücken in PHP, von denen auch viele Synology-Pakete betroffen sind.
In diesem Beitrag erfahren Sie, was hinter beiden Bedrohungen steckt, ob Ihr Synology-NAS betroffen ist und was Sie jetzt tun sollten. Stand: 31. Oktober 2026.
Zwei Gefahren gleichzeitig: L0CK3D-Ransomware und PHP2Shell
Die Ransomware-Welle (L0CK3D / C3RB3R)
Laut Synology nutzen die Angreifer eine Sicherheitslücke, die bereits im Dezember 2024 geschlossen wurde. Ziel sind Geräte, auf denen eine veraltete DSM-Version läuft, für die es keine Updates mehr gibt. Die Daten werden verschlüsselt, anschließend wird Lösegeld gefordert. Wer DSM regelmäßig aktualisiert, ist gegen diesen Angriffsweg geschützt.
PHP2Shell
PHP2Shell ist der Name für zwei kritische Lücken in der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619). Das PHP-Projekt hat am 21. Oktober 2026 Notfall-Updates veröffentlicht. Die Lücken haben die höchste Kritikalitätsstufe: Angreifer können ohne Anmeldung eigenen Code auf dem System ausführen. Betroffen sind nicht nur Synology-Geräte, sondern jeder Webserver mit einer anfälligen PHP-Version, also auch viele Websites bei Webhostern.
Nach aktuellem Stand sind das zwei getrennte Probleme. Synology ordnet die Ransomware-Angriffe der alten Lücke von 2024 zu, nicht PHP2Shell. Für Sie heißt das trotzdem: Wer ein veraltetes NAS mit Web-Diensten betreibt, ist doppelt gefährdet.
Welche Synology-Pakete sind von PHP2Shell betroffen?
DSM selbst nutzt PHP nur intern und ist nach Angaben von Synology nicht von außen angreifbar. Gefährdet sind Systeme, auf denen eines dieser Pakete installiert ist:
Web Station, WordPress, Joomla, MediaWiki, phpMyAdmin, KodExplorer
Synology Calendar, MailStation, vtigerCRM
IDrive (Paket eines Drittanbieters)
Nicht betroffen sind Synology Drive und Hyper Backup.
So schützen Sie Ihr Synology-NAS vor PHP2Shell und Ransomware
DSM aktualisieren: Systemsteuerung → Aktualisieren & Wiederherstellen. Das schließt die Lücke, die für die Ransomware-Welle genutzt wird.
PHP-Pakete aktualisieren: Im Paket-Zentrum alle PHP-Pakete auf den neuesten Stand bringen. Synology hat Updates für DSM 7.4 und 7.3 sowie für die nicht mehr unterstützten Versionen 7.2, 7.1, 7.0 und 6.2 bereitgestellt. Abhängige Pakete starten danach automatisch neu.
MailStation und Calendar prüfen: MailStation muss im Paket-Zentrum zusätzlich von Hand aktualisiert werden, für Calendar gibt es ebenfalls eine eigene korrigierte Version.
Kein PHP 7.3 mehr nutzen: Für diese Version gibt es keine Korrektur. Stellen Sie Websites in der Web Station auf eine neuere PHP-Version um. Deinstallieren Sie PHP-Pakete aber nicht einfach, andere Pakete können davon abhängen. Tauschen Sie auch keine PHP-Dateien von Hand aus.
Sehr alte DSM-Versionen (vor 6.2): Die betroffenen Pakete vorübergehend deaktivieren und so bald wie möglich auf eine unterstützte DSM-Version wechseln.
NAS nicht offen ins Internet stellen: Prüfen Sie im Router, ob Ports für das NAS freigegeben sind. Für den Zugriff von unterwegs ist ein VPN deutlich sicherer als eine direkte Portfreigabe.
Backup prüfen: Eine Kopie Ihrer Daten sollte außerhalb des NAS liegen, etwa per Hyper Backup auf ein zweites Gerät oder in die Cloud. Snapshots helfen zusätzlich, wenn Ihr Modell sie unterstützt.
Was tun, wenn das NAS bereits verschlüsselt ist?
Das NAS sofort vom Netzwerk trennen, damit sich der Angriff nicht weiter ausbreitet.
Kein Lösegeld zahlen. Es gibt keine Garantie, dass Sie Ihre Daten zurückbekommen.
Den Erpresserbrief und betroffene Dateien nicht löschen, sie können bei der Analyse helfen.
Prüfen, ob Snapshots oder externe Backups unbeschädigt sind.
Anzeige bei der Polizei erstatten. Unternehmen finden in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime.
Betriebe mit personenbezogenen Daten: Eine Datenpanne muss in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht gemeldet werden.
Fazit
Die aktuelle Ransomware-Welle trifft vor allem Synology-Geräte mit veralteter Software. PHP2Shell betrifft alle, die Web-Dienste auf dem NAS betreiben. Gegen beides helfen dieselben Schritte: DSM und Pakete aktualisieren, das NAS nicht offen ins Internet stellen und ein Backup außerhalb des Geräts haben.
Sie sind unsicher, ob Ihr NAS auf dem aktuellen Stand ist? KlarCloudIT schaut sich Ihr Gerät gern an, vor Ort in Hanau und Umgebung oder per Fernwartung. Jetzt Kontakt aufnehmen.