10 月 28 日凌晨起，一批 NAS 用户开机发现文件后缀全变成 .L0CK3D，每个目录躺着一封 read-me3.txt，开价 0.085 BTC。小红书
社区里有人报出近 30TB 素材当场锁死。先别急着说“我跑飞牛 / TrueNAS / Unraid，不关我事”——这波该记住的不是哪个牌子出事，是一个时间差。哔哩哔哩
补丁追不上攻击，这不是意外
PHP2Shell（CVE-2026-109618 / 109619，9.8 分）：官方 10 月 21 日才发补丁，公开报道称 17 日就已被在野扫描利用，攻击早了 4 天。群晖 Synology-SA-26:13 那两条（CVE-2026-13639 / 13684，同样 9.8 分）：9 月 18 日就发了修复版本，10 月下旬才集中爆发。所以它是 1day，不是 0day。知乎知乎小红书
对白群晖，“记得升级”是有用的话；对自建玩家这句经常落不了地：黑群晖不敢随便升，TrueNAS、Unraid 得自己盯 CVE，停产设备则是厂商不再发补丁，漏洞永久有效而机器还在跑。这条路你天生走得慢，那就先把另外两件事做掉。知乎
一、关入口，包括你没想起的那个
IPv6 是隐藏雷区：很多人以为没公网 IPv4 就安全，其实运营商默认下发 v6，防火墙一放行，和 v4 裸奔没区别。有玩家拿爱快实测：ACL 默认空的，IPv6 全端口开放，itdog 一测全绿；先加一条全端口阻断，再单独放行真要用的那个口，tcping 立刻全红。知乎哔哩哔哩
绝大多数中招案例有个共同点：路由器开了 UPnP 或手动端口映射，把管理端口直接挂到公网，被自动化脚本全天候扫描撞库。UPnP 和 DMZ 要一起关，否则你手动删掉的映射会被自动顶回来。小红书哔哩哔哩
反代也不等于安全：它只统一入口，不隐藏入口，还得靠 HTTPS 和二次验证。它只是把门牌号换了个更体面的，对扫描器来说等于没变。哔哩哔哩
更别扭的是，你为安全装的东西自己可能就是入口。Unraid 7.0.1 之前的 CVE-2025-29266，成立条件是两个正常功能同时打开：容器用了 Host 网络模式，又启用了 Tailscale，远程即可无认证以 root 进入管理界面。知乎
TrueNAS 25.10.8 之前的 CVE-2026-123033 更阴：同网段任意一台设备被拿下（哪怕只是台打印机），来连一下就直接给管理员权限，不需要口令，单机社区版同样中招。知乎
CVE 编号记不住没关系，记一个判断法：这个洞要不要账号？铁威马那条 CVE-2022-24990 只有 7.5 分，一个请求过去服务器就把管理员口令返回——不需要账号、不需要受害者点任何东西，拿到口令之后加密只是执行问题。知乎
二、做硬退路，“我有快照”是这轮最贵的错觉
三个放大损失的动作，全是自己人干的。RAID 救不了：勒索在文件系统层改写文件，阵列会在毫秒级把乱码同步进每一块镜像盘，给你一份完美对称的加密副本。知乎
云同步更狠：有受害者半夜听见风扇狂转，起床发现 Cloud Sync 正把勒索信和加密文件推上 OneDrive，把云端原本干净的备份挨个覆盖成乱码。连设置了互相备份的两台 NAS，也照样被一锅端。知乎哔哩哔哩
自建玩家反而有品牌机没有的两招。虚拟机 + 硬盘直通：把 NAS 系统跑在 PVE 里，备份盘直通给另一台虚机，NAS 那边根本看不到这块盘；整机被加密，攻击者也困在那个虚拟机里。知乎
离线冷备：管好两份数据，其中一份做成冷备份，用完后直接弹出断电，勒索软件再厉害也够不到。同机快照只能算第一道，而且别从不验证它能不能恢复。哔哩哔哩知乎
捡老机器还有个坑：不可变快照（WORM）的官方支持列表只覆盖 2020 系列及更新的机型，DS918+ 这类 2018 年的机器不在表里。知乎
已经中招，第一件事不是重装
拔网线，但别关机、别重启、也别为了清病毒把进程杀了，内存里的密钥一旦断电就彻底没了。小红书知乎
GitHub 上的 c3rb3r-rescue 靠内存取证，帮一家公司解开了近 49GB 备份。但它只能解自己机器内存里残留的那份材料。赎金别付，各家安全机构口径一致。知乎知乎
换牌子不是答案
截至 11 月 6 日，CISA KEV 里与 NAS、网络设备相关、被标注“被勒索团伙使用”的记录有 14 条。换品牌只是换一种欠账方式：威联通欠相册套件的老伤，Unraid 欠权限给太粗。知乎
风险取决于四件事：谁发补丁、默认朝外开了什么、跑了谁写的软件、权限给到多粗。第一条你改不动，后三条今晚就能动手——入口开多大，退路有多硬，这才是你手上真正的两个变量。
