10月28日凌晨起，群晖用户的相册、合同、代码仓库陆续打不开。文件名后面多了“.L0CK3D”，每个文件夹里躺着一封read-me3.txt。
不是一台两台。中文技术社区里的求助帖从28日排到11月。群晖在10月29日确认，这轮攻击利用的是2024年12月就已修复的漏洞，并非新版DSM的零日漏洞。微博
最扎人的地方在时间线。从补丁发布到集中加密，中间隔了22个月。22个月里，任何一天点一次“更新”，都能避开。
但很多人没点。一位用户写了自己的经历：机器买回来几年，一直没升级，因为他觉得“购买时机器上搭载的系统版本应该是经过充分验证，比较安全的”。知乎
这句话很普通，也很典型。我们买冰箱、买路由器，默认出厂状态就是可用的。NAS不是。它是一台24小时联网的Linux服务器，出厂那天只是它安全状态的起点。
关于漏洞编号，两家说法并不一致。群晖指向CVE-2024-10441，360反勒索团队在处置样本时看到的是CVE-2026-13639和CVE-2026-13684。
两边都确认了一件事：没有尚未修复的0day被利用。
入口不同，动作一样——把DSM升到最新。比“哪个CVE”更值得看的是，为什么NAS总被盯上。
它一直在线。笔记本会合盖，NAS不会。它常常能从公网打开，端口转发、UPnP、远程访问，每一个便利都是一扇门。
最要命的是第三点：很多人的“备份”，就是NAS里那一份。加密一台NAS，等于一次性收走照片、文档和退路。知乎
所以攻击者不需要专门盯上你。你只要被扫到。
已经中招的，先断网，别让加密继续。不要急着重启、关机或杀掉进程，内存里的会话密钥可能是恢复的唯一窗口。 把加密文件、勒索信和可疑进程原样保留，在独立副本上再试解密。知乎
Solar应急响应团队做过样本分析，在加密器仍在运行、能提取同一会话密钥材料的条件下，部分文件可以恢复。他们同时提醒：这不是通用解密方案，也不代表所有.L0CK3D文件都能恢复。
还没中招的，今晚可以按这个顺序检查。先看DSM版本。6.x要特别注意。官方后续公告不再覆盖6.x，补丁序列停在2024年那一版。 继续联网，等于把已知漏洞挂在外面。知乎
再看公网入口。路由器里的端口转发、UPnP、直接映射出去的WebDAV和管理页面，能关就关。远程访问优先用厂商中继、VPN或内网穿透，不要把5001端口直接怼在公网上。
然后看账号。管理员不要全家共用，能开两步验证就开，SSH不用时关掉。最后看备份。快照要开，但不能只靠快照——攻击者拿到管理员权限后，标准动作之一就是先删快照。知乎
重要数据至少留一份离线盘，或者一份带历史版本、攻击者删不掉的云端副本。
“我有快照”，是这轮事件里最贵的错觉。知乎
22个月够长了。长到我们可以把它当成一次提醒：NAS不是买回来就安全的家电，它更像一辆一直停在公网路边的车，门锁要自己记得锁。
今晚花十分钟，看一眼版本号和端口转发列表。比在群里问“中招了吗”，有用得多。
