群晖勒索没消停又曝9.8分漏洞，关机保平安之前先做对这5件事
今年10月，群晖用户有点喘不上气：照片、合同、代码仓库一夜被加密，文件名拖出 `.L0CK3D` 后缀，目录里躺着勒索信。评论区最高赞反应——“我先关机了”。知乎知乎小红书
勒索风暴没消停，11月上旬群晖又连发高危公告：一个连账号密码都不需要的漏洞，CVSS 打到 9.8。升级补丁、关端口、开两步验证、配快照……社区画风已从"中招了吗"变成"你整改了吗"。家里有台 7×24 不关机的 NAS 或 HomeLab 小主机？先别拔电源，十分钟看完下面这些。小红书知乎
一、先分清：旧闻和新闻是两码事
10 月那波勒索软件被 360 标为 Cerber 家族变种 C3RB3R，打的是补丁早就发了的老洞：官方口径里补丁发布于 2024 年 12 月，收割在 2026 年 10 月。360 则指向 2026 年 9 月修复的两个高危远程洞——9 月披露、10 月规模化利用，典型 1day：不是没有补丁，而是大量设备没装补丁。知乎知乎
双方还有一致结论：没有证据表明存在未修复却被利用的 0day。这软件还很"讲究"：每个文件一把独立密钥、再用攻击者公钥保护密钥，中途还跳过系统目录避免把系统加密到崩溃。被加密后，只有备份能救你。知乎知乎
11 月的新洞是另一码事：SA-26:19 披露两项，一个是 DSM 认证 API 里的 SQL 注入，一个是 rsync 组件认证绕过，其中一项未授权就能远程读写文件。补丁已放出；官方特别说明，这次和之前那批勒索攻击不是同一个漏洞，也暂无证据显示它被用于勒索。但未修复又暴露公网的机器，就在扫描器射程里。知乎小红书小红书
新旧两件事，动作殊途同归：先升到官方修复版，系统要看，套件更要逐个核对——这轮被打的不是 DSM 本体，是套件里的 Web 应用与 PHP 环境。知乎
二、不只是群晖在渡劫
美国政府的 KEV"已被利用漏洞清单"截至 11 月 6 日共 1769 条，缩小到 NAS 与网络设备剩 71 条，其中 14 条标注遭勒索使用。群晖在这份名单上是 0，只因事件太新；威联通的记录落在相册套件，TrueNAS 有局域网一台中招就能拿管理员权限的洞（25.10.8 修复），Unraid 的 9.6 分洞只需"Host 网络 + Tailscale"两个正常功能组合触发，铁威马的旧洞甚至直接吐管理员口令。知乎
判断自家机器，两把尺子：这个洞要不要账号？这台机器明年还收得到补丁吗？ 群晖的病是药发了两年没人吃。而 6.x 和已停产设备不会再有官方补丁，继续联网等于把已知漏洞挂在外网，撤公网入口是唯一正确答案。知乎知乎
三、5 个动作，今晚就能做完
撤端口：删掉路由器上 5000/5001 管理口的公网直映射，"换高位端口"不是安全措施——中招设备几乎都栽在管理端能被公网直接访问。知乎
换远程路：外面看相册要的不是敞着的门，而是一条 WireGuard 或 Tailscale 隧道。QC 一关，家人只是想用相册，总不能先上一节网络课。小红书
收权限：停用默认管理员，一人一账号，开双重验证。全家共用一套 admin 不增加进来的概率，只放大后果。小红书
关服务：rsync、SSH、FTP 和闲置套件，用不到的入口全关掉。
隔离备份：勒索软件拿到权限的标准动作是先删快照、停备份再加密——同机快照不能替代独立备份。留一份平时断开、勒索软件碰不到的离线冷备，叠加防篡改快照。并且真的还原测试一次：备份不测试，等于没备份。知乎知乎小红书
复盘倒下的那批机器，大多不是败给黑客电影，而是败给三个老决策：开放到公网、永不更新、admin 多方便。攻击者不需要盯上谁——补丁延迟有多长、退路有多硬，决定了你是不是那个"恰好都在网上"的受害者。
