这份群晖公告里数字最吓人的地方，最不用慌。2026年9月18日，群晖发布安全公告SA-26:13，一次修掉八个漏洞，其中两个CVSS评分9.8，不用登录就能读写NAS里的任意文件。10月底那波加密勒索把这份公告顶上热门，可决定你今晚动不动手的，是机器上另外两个数，完整版本号和所属分支。
9.8分这笔分，打的是什么
CVSS是行业给漏洞的危险打分，满分10。拆开这两个9.8的算法，关键条件只有两条，攻击不需要任何权限，也不需要用户点任何东西。口令再强、两步验证再细，都作用在登录口以内，洞开在墙另一侧时，这些配置连出场顺序都排不上。分数管的是排队的先后，管不了你这边动不动。低分也别划走，铁威马有条7.5分的洞，请求头里带一句设备标识，服务器就把管理员口令原样递回去。判断标准就一句，问它要不要账号，不要账号的几乎一定会被用起来。
修复线要拿完整版本号去对
公告不写你的机器有没有事，它给的是修复线。版本号是有结构的，分支号、构建号、补丁序号，7.2.2分支对应的线是7.2.2-72806-1往上，7.4这条线从7.4-90075起步。界面上“7.4.1”这种短版本号对不进细线，先在控制面板复制出完整版本号，再逐段比。比完把自动安装重要安全更新的开关拨开，官方给过响应速度，8小时内评估、15小时内出补丁，开关关着，再快也送不到你这台机器。
先确认分支还在名单里
比修复线更硬的，是分支在不在公告覆盖里。SA-26:13的名单已经没有6.x，这批机器的补丁序列停在2024年12月那版公告，之后再无更新。存了多年照片和合同的机器，断供之后配置堆得再厚也是给旧账续命，该算清仓账，收公网、退成内网冷存储，或者换机。厂商之外那张美国已被利用漏洞清单也靠不住，收录滞后，没上榜只代表还没被正式记录，不是体检报告。
“全网0day”吓掉的东西，自己捡回来
流传最广的说法是出了0day，站得住的版本没这么玄。官方口径指向2024年12月修复的CVE-2024-10441，360的处置样本指向9月18日修的CVE-2026-13639和CVE-2026-13684，两边各执一词，一致点只有一处，目前没有证据显示存在被利用的未修复0day。有用户反馈升到7.4.1仍被加密，入口还在排查，个案撑不起全系沦陷。至于大规模，官方从没发布过设备数量，能核实的只有发帖、处置多起这类描述。落到动作就三行，复制完整版本号，对照修复线，确认分支在名单内。在名单里今晚更新完事，不在，问题就从怎么升级换成留不留。下一份公告来了还是这三行。9.8分是给所有人排队的数，版本号才是给自己机器的数。
