10月28日之后，一些群晖用户打开共享文件夹，发现照片、工程文件的后缀变成了 .LOCK3D，目录里多出一封 read-me3.txt。 不是某台机器倒霉，是自动化扫描在公网上成片地找门。知乎专栏
群晖10月29日的公告确认了在野攻击，入口指向 CVE-2024-10441：system plugin daemon 的输出转义问题，CVSS 9.8，远程、无需账号。
官方给出的修复线是 DSM 7.2-64570-4、7.2.1-69057-6、7.2.2-72806-1 及以后。 这些版本不是这周才发的，很多人只是没升。NVD
但最先要记住的，不是漏洞编号，是中招后的第一个动作：别重启，别关机，也别急着重装。
有安全研究人员开源了 c3rb3r-rescue，靠内存取证，把一家公司10月24日那份近49GB的备份完整解开，80个项目、23名用户、9253个LFS对象都恢复了。 前提是内存里还留着密钥材料。知乎专栏
一旦重启、断电，或者为了“清病毒”把进程杀掉，这份材料就没了。 它不是万能钥匙，换一台机器就得重新从内存里取；但在你自己那台机器上，先保留现场，比先装系统有用。知乎专栏
更常见的一个错觉是“我有快照”。 同机快照和在线备份，常常跟原数据一起被加密。知乎
群晖的不可变快照基于 WORM，官方支持列表从2020系列起，DS918+这类2018年的机器不在表里，社区命令强开也未必生效。 所以真正的问题是：那份副本在不在另一台机器、另一块盘，或者干脆离线。知乎专栏
还有人觉得，数据放在自己的 NAS 上就没事。一家公司把全部文件放在办公室 NAS 上，补丁一直没打，整盘加密；解密工具跑了36小时才解开10TB，后面还剩10TB。微博
还有人以为换个牌子就安全。这轮公开受害者几乎都是群晖，但风险不挑品牌。知乎
威联通、TrueNAS、Unraid 各有自己的补丁债。QNAP 的相册套件、TrueNAS 25.10.7 及以前的本地管理员绕过，都是现成的入口。
Unraid 把 Host 网络和 Tailscale 一起打开，也是现成的入口。换品牌只是换一种欠账方式。
真正能控制的是两个变量：补丁延迟有多长，退路有多硬。知乎
还有一个容易被忽略的细节：升级 DSM 不等于升级 PHP。
10月22日群晖单独发过 PHP2Shell 公告，影响 MailPlus、MailStation、Calendar、Web Station、WordPress 这些套件。知乎专栏
Solar 团队处置的一台机器跑的是 DSM 7.4.1-90080 Update 1，当时的最新版。
他们只说最新版被加密不等于有 0day，入口还可能是套件、凭据或别的暴露服务。知乎专栏
别把“我已经最新”当成护身符。
如果家里或办公室有一台 NAS，今晚可以先做这几件事。把 DSM 和套件中心里的 PHP 分别更新；把 QuickConnect、DDNS、路由器端口转发和 UPnP 映射逐项检查。
管理界面不要直接挂在公网；必须远程访问，用 VPN 或带身份验证的入口。开两步验证，停用 admin，打开自动封锁。
最后，把重要数据做一份离线的、可恢复的副本，并真的还原一次。任务显示成功，不代表恢复出来不是空的。知乎专栏
NAS 把数据从网盘手里拿回来，代价是它从此是一台24小时在线的服务器。
私有云不是保险箱，它只是把钥匙交给了你，也把维护的责任交给了你。
