群晖发了 9.8 分公告，自建 NAS 没人提醒你升级_网络存储

这周群晖推送了 DSM 安全更新，对应公告 Synology-SA-26:19，风险评级 Critical。快科技IT时代网

里头那个 CVE-2026-76954 是身份验证 API 的 SQL 注入，CVSS 9.8：不用账号、不用密码、不用你点任何链接，远程就能读写 NAS 里的文件。另一个 CVE-2026-85101 藏在 DSM 自带的 rsync 组件里，8.6 分，同样是身份验证绕过。你未必开管理界面，但很可能开着同步。知乎IT时代网快科技

补丁已经发了，官方也没说这两个洞已被实际利用。看到这儿，自己攒机器的那批人大概会松口气：我又不跑 DSM。

这口气松早了。

门早就修好了，只是没人去装

10 月那波把文件改名成 .L0CK3D 的 C3RB3R 勒索，群晖 10 月 29 日发声明确认在野攻击，官方说法是攻击者用的漏洞 2024 年 12 月就已修复。从补丁发布到集中加密，中间隔了 22 个月。360 的复盘口径不同，指向 9 月 18 日才修的两个 9.8 分漏洞。两边各执一词，唯一共识是：目前没有未修复的 0day。知乎小众软件知乎

时间线上先中招的也不是群晖。2025 年 10 月，飞牛社区就有人发帖说吃饭的功夫整盘被 SMB 加密。真正让飞牛进入视野的是 CVE-2025-0510：路径穿越，9.8 分，无需认证读取任意文件，官方紧急推 fnOS 1.1.15 和 1.1.18 修复。落到机器上的样本相当专业——改启动脚本、加载内核模块藏进程、给恶意文件加 immutable 属性防删，还把升级域名指向无效地址，让设备再也收不到更新。知乎

自建的真问题：没人给你发公告

群晖用户至少有一个会主动推送的公告页。自己装的那台，攻击面摊在四五个上游里，每一份公告都得自己去订。把跟 DIY 常用栈相关的几条摊开看：

TrueNAS：CVE-2026-123033，11 月 5 日公开。一段"高可用"校验逻辑本该只在集群模式下生效，却被无条件启用——同一局域网里用特定地址和端口连上来，系统就当你自己人，直接给管理员权限，不要口令。单机的社区版一样中招，修复版本 25.10.8。知乎
Unraid：CVE-2025-29266（9.6 分），7.0.1 之前，只要容器用了 Host 网络模式、又开着 Tailscale，远程用户可无认证以 root 进入管理界面。成立条件是两个都属正常功能的组合。另外还有 CVE-2026-3839 路径穿越绕登录、CVE-2026-9772/9773 命令注入。
自建 UniFi 控制器：CVE-2026-34908、34909、34910 三条全是 10.0 分，已进 CISA 的"已被利用漏洞清单"，给美国联邦机构的处置期限是三天。你 Docker 里跑的那套管理界面同样在射程内。
铁威马：CVE-2022-24990 只有 7.5 分，但请求头里带一句 User-Agent: TNAS，服务器就把管理员口令回给你。

分数会骗人，"要不要账号"不会。上面这些全部发生在认证流程之外——MFA、SSH 密钥、强密码配得再齐，在这条路径上连出场机会都没有。排优先级就问一句人话：攻击者需要账号吗？不需要的，几乎都被真的用起来了。知乎

再补一句：CISA 那份清单是滞后指标，不是体检报告。没上榜只代表还没被正式记录。

今晚能做完的四件事

打开系统层自动安全更新。Debian 系一个 unattended-upgrades 就够；TrueNAS 升到 25.10.8 以上，Unraid 升到 7.0.1 以上。至于用第三方引导装 DSM 的机器，本来就没有官方更新通道，适配没到之前唯一正确的动作是撤掉公网入口。知乎
数一数容器。Docker 基本不在 NAS 的安全保护范围内，latest 拉下来那天，往往就是它版本的终点。
查"组合"。Host 网络加内网穿透、管理面加公网映射，单看都正常，凑一起就是入口。改端口号不算安全措施。
检查退路。同机快照不是备份，管理员账号一沦陷就能删；备份账号不该有删除权，移动硬盘写完就拔。