群晖又发9.8分严重公告：修复号只比上月高一个尾数

上个月那波 .L0CK3D 之后，不少人做的第一件事就是冲进 DSM 点更新，看到"已是最新版本"，悬着的心放下了一半。

11 月 10 日 17:06，群晖又挂出一份新公告 Synology-SA-26:19，等级 Critical，两个漏洞。其中一个 CVSS 打到 9.8 分：攻击者不需要账号、不需要密码、也不需要你点任何链接，就能远程读写你 NAS 里的文件。Synology微博NVD

而这次的修复版本号，比 9 月那份公告只高了一个尾数。

两个洞，一个在登录接口，一个在 rsync

CVE-2026-76954 在 DSM 的认证 API 里，是一处 SQL 注入，CVSS 评分 9.8，严重程度 Critical。攻击向量 AV:N/AC:L/PR:N/UI:N 翻译成人话就是：网络可达、门槛低、不需要任何权限、也不需要你点一下。知乎

CVE-2026-85101 在 DSM 自带的 rsync 组件里，属于"用备用路径或通道绕过认证"，CVSS 8.6，能读特定文件、写任意文件。Synology

两个洞都是外部研究员报上去的，公告里致谢了越南 Viettel Cyber Security Research Lab 的两位研究员和一位独立研究者。知乎

值得多说一句的是"读写任意文件"这五个字。它不只是能翻你的照片和文档——能写，就意味着能改配置、能塞计划任务，也就具备了把整盘数据加密再留张勒索信的全部前置条件。翻回 9 月那份公告，被安全厂商点名的那两个入口漏洞，官方描述用的是同一句话：远程读写任意文件。Synology

“我上个月升过了”，这句话这次不成立

把两份公告的修复版本并排放一起看：

尾数只挪了一格，7.4 那条甚至换了个小版本号。所以判断自己修没修，靠"升过了"这个印象不行，只能对着自己所在分支的那串构建号逐位比：打开控制面板里的更新页面（Update & Restore），当前版本和可用更新都在这一页。低于表里那串，就是还没修。微博NVD

Mitigation 那一栏，官方写的是 None

不是省略，是明确写着没有临时缓解方案，唯一有效的动作就是升级。升级前后这三件事顺手做掉，一共三分钟：

1. 升：控制面板里的更新页面（Update & Restore），有更新就装，装完重启。别只看那句"已是最新"，回来再对一次构建号。

2. 测：手机关掉 WiFi 走流量，访问你平时远程连的那个地址加 :5000 或 :5001。弹出 DSM 登录页，就说明管理界面正挂在公网上被扫描器排队光顾。知乎

3. 收：路由器端口转发里删掉 5000、5001，远程访问改走 VPN 或官方中转。再去控制面板 → 文件服务 → rsync 看一眼，当初为了异地同步把"启用 rsync 服务"勾上、现在用不上的，顺手关掉。知乎

要清楚这三步的定位：收端口只是让你更难被扫到，不是修好了。官方 Mitigation 写 None，就是这个意思。

时间窗口按周算，不按年算

上个月那波的节奏值得记住：9 月 18 日发公告，10 月就被规模化利用。360 反勒索服务说连续接到多起群晖被加密的求助，并把入口归到 9 月披露的两个高危漏洞上——典型的 1day，不是没补丁，是补丁没装。SA-26:19 的公告里没有提到在野利用，目前也看不到公开的批量攻击报告，这一点先说清楚。但补丁一 diff 出来，读懂它的人总比等公告的人多。上一轮留给普通用户的时间，是一个月。微博

老机型在表里没有位置

这份公告的修复列表只到 DSM 7.2.1。机型太老、系统最高只能停在更低分支的，表里找不到自己那一行。这种情况下能做的只剩：彻底不暴露公网、关掉用不上的服务、给重要数据留一份平时不连在 NAS 上的离线副本，然后认真考虑换机。RAID 不是备份，快照也挡不住已经拿到高权限的人——它和原数据躺在同一台机器上，机器一旦被打穿，攻击者等于一次拿到原件和备份两把钥匙。知乎知乎