强密码、双重验证全失效？群晖勒索攻破的那道门，竟是22个月前补好的
这波群晖勒索（被360标记为C3RB3R，文件被统一加上 .L0CK3D 后缀）里，被问最多的一句话是：我密码十几位、双重验证开了、SSH禁了、连默认端口都改了，它怎么还是进来了？
一位中招的Reddit用户把硬盘拆下来做只读挂载取证，日志还原了全过程：根本没过密码这一关。群晖的登录框像个前台，把你的用户名打包成内部表单，交给root权限的系统插件进程。旧版系统不检查用户名里塞了什么——攻击者伪造一个内部分隔符，后面接上动态链接器指令，glibc在校验账号之前就以root身份往计划任务目录写了行恶意脚本。前台还在礼貌提示"登录失败"，后台的活已经干完了。只发一次请求，连"输错5次封IP"的阈值都不会触发。知乎
更扎心的是时间线。群晖罕见地发新闻稿确认在野攻击，原话大意：攻击者用的是2024年12月就已修补的漏洞。官方口径指向CVE-2024-10441，也有人反馈升级到7.4.1 Update 1后依旧被锁。知乎知乎
360反勒索团队给出另一组口径：黑客大规模利用了群晖今年9月18日公告、9月底已修复的两个高危远程漏洞（CVE-2026-13639/13684）。两组口径都没拿出可复现分析，但有一件事双方一致：没有证据表明存在"没修却被利用"的0day。翻译成人话：门是修好的，只是你的机器从来没更新。知乎知乎
至于"最新系统也中招"，翻日志的人给出一针见血的判断：中招的基本都停在旧系统，唯一的7.4个案大概率是先中招、后升级。哔哩哔哩
三个疯传的说法，其实都不成立：
“群晖本体被打穿了”——被打的是套件里跑博客、相册、管理后台的那套Web/PHP环境，不是DSM本体。知乎
“PHP2Shell才是元凶”——PHP官方10月21日才紧急修复这批远程执行漏洞，跟本轮攻击只是时间上挨着，挨着不等于因果。知乎
“有现成解密工具”——目前并不存在可以破解这种加密的成熟技术。至于从内存里提密钥这类社区自救，前提全是发现得早、没kill进程、没重启没重装。知乎哔哩哔哩
四类高危现在立刻自查：跑DSM 6.x的（9月的修复没覆盖，之后也不会再有补丁）；全家共用一个管理员口令还没开两步验证的；黑群晖和第三方引导的，在官方适配之前唯一正确的动作是断开公网访问；还有把5000/5001端口直接挂在公网上的。知乎知乎
今晚十分钟，三件事。白群晖先把DSM升到最新、打开自动更新，重要数据开不可变快照——这两样都配置过的人，真出事一个回溯就能救回来。第二件：关掉用不上的端口映射和套件。第三件：备份账号只给读、不给删，因为攻击者拿到它就能把备份一起清掉。备份和源数据在同一条船上，等于没有备份。小红书知乎
22个月前门就修好了。这波里没被打开的，是那些从来没按过"更新"的机器。
