飞牛OS漏洞亲历：从被黑传闻到1.1.20深夜升级，你的NAS安全吗？

一、 2026年NAS圈的第一场“风暴”

作为近期热度极高的国产 NAS 系统，飞牛 OS（fnOS）在收获口碑的同时，也迎来了诞生以来最严峻的生存挑战。近期关于“飞牛 0day 漏洞”、“被黑产盯上”的传闻闹得沸沸扬扬。

作为一名NAS用户，我经历了从最初的自查，到今晚（2 月 12 日）正式收到 v1.1.20 关键版本推送的全过程。今晚文章不聊虚的，只聊这次漏洞到底怎么回事，以及我们该如何自保。

二、 官方复盘：今晚这篇“反思录”说了什么？

就在今晚（2月12日），飞牛官方发布了题为《致飞牛用户：近期安全事件的完整说明与深刻反思》的重磅公告。文中首次公开了大量此前不为人知的细节：

• 核心漏洞实锤： 官方坦诚系统确实存在“越权访问、路径穿越、验证绕过”三大基础安全缺陷。

• 攻击复盘： 1 月 20 日开始出现定向入侵；1 月 31 日后演变为全网蠕虫式无差别攻击。

• 黑产手段： 攻击者植入 CC 型远程控制木马，甚至修改受害设备的 hosts 文件阻止系统升级，并对官方更新服务器发起 DDoS 攻击。

• 深刻反思： 官方承认去年 12 月就有用户反馈过相关漏洞，但当时内部“重功能迭代轻安全”，仅将其当作普通 Bug 处理，错失了最佳修复时机。

三、 三次紧急迭代：官方的“极限操作”

为了应对这场危机，飞牛在短时间内连续推送了三次关键升级，这几次升级逻辑各不相同，值得我们复盘：

1. v1.1.18（紧急阻断）： 修复了全部三个核心漏洞，并主动中断了未升级设备的 fnConnect 中转服务，通过“断网”强制阻断攻击扩散。

2. v1.1.19（安全强化）： 针对木马变种开始查杀，并默认关闭 SSH，引导用户开启双重验证（2FA）。

3. v1.1.20（今晚推送·系统自愈）： 默认关闭 SSH： 进一步收窄受攻击面。

   系统文件修复： 专门针对那些被病毒破坏导致无法更新的设备，新增了“一键修复”功能，重新安装所有必要依赖组件。

四、 避坑实战：1.1.20 升级后的安全建议

今晚升级到 v1.1.20 后，建议各位值友务必执行以下操作：

• 使用“系统文件修复”： 如果你之前的升级反复失败，点击该功能让系统自愈。

• 确认 SSH 状态： 截图显示，新版默认关闭了 SSH 权限，建议在确认网络环境安全前保持关闭状态。

• 密码重置： 配合 1.1.20 的新策略，修改更复杂的密码并开启官方引导的双重验证。

五、 来福君总结：成长的阵痛，还是品牌的危机？

飞牛在今晚的公告中提到：“成长不能成为安全的借口”。

这次 0day 事件是一记警钟。虽然飞牛早期的“先修复后通告”策略剥夺了部分用户的知情权，但在 1.1.18 到 1.1.20 连续的高频迭代中，我们看到了团队救场的热诚和解决问题的能力。作为用户，我们要的是更透明、更安全的私有云体验。

提醒： 如果你的设备至今搜不到更新，大概率是被病毒篡改了 DNS 或 hosts，请务必查看官方公告中的手动脚本或重装系统盘。

作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～