10月最后几天，很多人的周末被同一件事打断。打开群晖NAS，全家照片、工作文档、代码仓库的后缀整排变成.L0CK3D，每个目录多出一份read-me3.txt勒索信，快照列表变空，日志中心躺着陌生异地IP的登录记录。攻击者没有点名，被打通的机器有一个共同特征，DSM还停在旧版本，门又朝公网开着。
补丁9月就发好了，风暴10月底才到
先看这一项修复本身。2026年9月18日，群晖发布安全公告SA-26:13，一次修掉八个漏洞，其中两个CVSS评分9.8，无需登录就能读写NAS内任意文件，修复版本一路推到7.4-90075往上。这就是“权限绕过”这次的实体。
10月下旬，C3RB3R家族把加密砸向还跑着旧版DSM的设备。10月29日群晖发声明确认在野攻击，呼吁立刻更新DSM、打开自动更新，并强调这波与近期PHP漏洞无关。赎金标价0.085个比特币，5天不付翻倍。归因上有两套口径，官方指向2024年12月修复的CVE-2024-10441，同样是9.8分，系统插件守护进程的缺陷，不需要密码就能远程执行代码。360处置的样本指向9月18日修的那两个。两边都没有公开可复现的分析，一致的地方只有一处，目前没有证据显示存在被利用的未修复0day。
我的判断是，这轮风暴暴露的是补丁发布和补丁到账之间的时间差。一台囤数据的机器，安全更新是最便宜的持有成本，平时看不出付没付，风暴一来一次结清。
绕过登录口时，密码和两步验证都不出场
这类漏洞扎手在入口不认账号。密码强度、两步验证、改默认端口，保护的都是正常验证流程，漏洞给攻击者开了另一道门，那条防线上配好的东西没有机会出场。公告和修复版本全是公开的，自动化扫描会把公开补丁读成公开入口清单，打过旧补丁却没装到最新的机器，和没打区别不大。
影响面要按克制的口径讲。可核实的只有“多名用户发帖”“处置多起”这类描述，官方没有发布设备数量统计。也有用户反馈升到7.4.1仍被加密，入口还在排查，那是待解的个案，推不出“更新没用”。
7.x先对版本号，6.x该清门了
机器还在7.x支持名单内的，今晚的活就一行字，进控制面板核对完整版本号，对照修复线，7.2.2分支的修复线是7.2.2-72806-1往上，7.4从7.4-90075起步。然后把自动安装重要安全更新的开关打开。官方自称漏洞发生后8小时内评估、15小时内出补丁，这个速度不点开开关就与你无关。
6.x的判断要硬一些。SA-26:13的覆盖名单已经没有6.x，这批机器的补丁序列停在2024年12月那版公告，之后没有更新。我给两条出路，要么公网入口全撤、只留内网冷存储，要么换机退役。一个进入“没人接着修门”状态的囤件，不该继续占重要数据的位置。第三方引导的机器同理，没有官方更新通道，断公网是唯一正确动作。
还在观望新机的，这波给决策加了一项硬指标，更新通道的剩余寿命。清库存的老款和二手6.x机器，买回来等于接手一台断药的，这台机器值得先放放。
加密程序先动的，是你的退路
拿到管理员权限的勒索程序，标准动作是先删快照、停备份任务、清日志，再开始加密。同机在线可写的备份目录，在它眼里就是另一块待加密的存储。HKCERT给处置排在第一位的是隔离，拔网线、停同步，勒索信、加密样本、系统日志都留证，别急着重装把恢复线索抹干净。公开的通用解密工具没有，个别样本只在加密器仍在运行、能提取同一会话密钥材料等特定条件下有解密可能，概率小到不该把它当退路。
把数据囤在NAS上，图的是它替我存三年五年。这轮教得更直白，能不能存住，不取决于盘，取决于更新键按没按，另一份副本独立到删不删得掉。我的立场停在这里，先补丁，再离线副本。风暴过没过去，是最不值得等的一件事。
