免账号密码就能读写你家NAS：群晖两波风暴后的五步自查，越快越好_网络存储

10月以来的这轮群晖勒索风暴，让"硬盘炒豆声"成了玩家圈的恐怖故事——有网友说朋友的群晖半夜硬盘响个不停，起初以为是故障，实际是勒索软件正把NAS里的资料一个个加密。风波还没平息，官方11月10日又发布新安全公告：这回连密码都不用，就能读写文件。微博

两波风暴，一波比一波狠

第一波：C3RB3R勒索。360在10月29日预警，10月以来其反勒索服务连续接到多起群晖NAS被加密的求助，源头是Cerber家族变种C3RB3R，照片、视频、文档被加密后，文件后缀统一改成`.L0CK3D`。它会递归扫目录、给每个文件单独生成密钥加密，每个被加密的目录里再留一份勒索信`read-me3.txt`。知乎知乎

攻击入口是9月披露的两个高危远程漏洞，只隔一个月就被规模化利用——不是没补丁，而是大量设备没装补丁。中招设备的共同点是管理端暴露在公网，官方PHP应用也在讨论中被反复点名。知乎微博

第二波：SA-26:19新漏洞。群晖官网公告显示，DSM认证API中的SQL注入（CVE-2026-76954）可让远程攻击者读写任意文件。这一项CVSS评分高达9.8，攻击者不需要账号密码，就可能远程读取或写入NAS中的文件；另有一个rsync组件的认证绕过CVE-2026-85101，8.6分。群晖官网知乎

需要说明：官方公告披露的是漏洞及其潜在影响，并没有表示这两个新漏洞已经被用于实际勒索攻击——它们与之前C3RB3R勒索攻击涉及的漏洞并不是同一批。但这是"不点任何链接也可能中招"的风险面。知乎

五步自查，按这个顺序来

对版本：先确认已到9月18日修复线——群晖官方9月18日发布的更新修复了8个漏洞，受影响设备要升级到DSM 7.4-90075、7.3.2-86009-4、7.2.2-72806-9、7.2.1-69057-12或更高版本。之后再到下载中心按自己的型号装上SA-26:19对应的最新更新：分支不同版本号不同，别直接抄别人的。知乎
退公网：很多用户为了方便远程访问，会把群晖5000、5001等管理端口直接映射到互联网。把这些不必要的端口转发从路由器里撤掉；确实要外网访问，用VPN或厂商中转服务＋可信IP白名单。知乎
清账号和服务：停用默认管理员、全部强口令、开两步验证和自动IP封锁；PHP、rsync、SSH、FTP这些用不到的服务，关掉。
隔离备份：同机快照攻击者拿到权限就能删，它不等于备份。开启防篡改快照，按3-2-1原则至少留一份离线副本；有网友的做法可以抄：移动硬盘备份完就拔下单独收好。
盯日志：定期看日志中心的异常登录和批量文件修改，看到陌生文件后缀，第一时间断网检查。