群晖用户，先别急着庆祝。
C3RB3R 勒索那波刚过去，很多人连夜打完补丁、拔了公网线，以为这事就算翻篇了。结果这几天，群晖又发了一份安全公告 Synology-SA-26:19，披露 DSM 里的两个高危漏洞，其中一个 CVSS 评分 9.8——差 0.2 就满分。对这两周一直盯新闻的人来说，这大概是最不想看到的连续剧。知乎微博
9.8 是个什么概念？上次被勒索，不少人还在怪"谁让你不更新"。这回是你更新到几天前的最新版也没用，只要 NAS 的管理入口暴露在公网，攻击者可以绕过账号密码，直接远程读写你的文件。对，不用密码。知乎
两个洞，一个比一个狠
第一个 CVE-2026-76954：DSM 认证 API（AuthAPI）里的 SQL 注入。说人话就是，看大门的自己被忽悠瘸了，攻击者不用登录，就能读文件、改文件，还能把服务打瘫。微博
第二个 CVE-2026-85101，CVSS 8.6：藏在 DSM 自带的 rsync 同步组件里，同样是身份验证绕过。就算你觉得自己从来不碰管理界面，只要同步服务开着，照样在射程里。群晖官网
不过要说清楚，这两个洞和之前勒索病毒利用的不是同一批漏洞，官方公告也是分开讲的，目前没有证据显示这两个新洞已经被用于实际勒索。你为了防勒索打的补丁，防不了这两个。知乎
先对号入座：谁最危险
路由器上做了端口转发、把 5000/5001 这类 DSM 端口直接开到公网的——最高优先级处理；
开着群晖 DDNS、QuickConnect 对外连接的——挨个检查；
纯内网使用、出门只走 VPN/WireGuard 组网的——风险小很多，但该更新还得更新；
折腾黑裙的朋友另说：官方补丁通道不带它玩，这次能做的就是收紧暴露面，别再给公网留门。
各平台评论区被翻来覆去说烂的道理就一条——NAS 不暴露在公网，风险已经砍掉一大半。
花 30 分钟，做四件事
查版本、升级。控制面板 → 更新和恢复，看有没有推送。没有提示不等于安全，群晖的补丁是分阶段推送的，稳妥做法是去官方下载中心，按你自己的型号和分支找修复版本。公告里四档达标线：7.2.1 系列到 69057-13、7.2.2 到 72806-10、7.3 系到 86009-5、7.4 系到 90080-1。不同机型版本号不一样，别抄别人作业。群晖官网
断公网入口。删掉不必要的端口映射，外出访问改成 VPN 回内网。注意，VPN 只是降低暴露面，不能代替打补丁。
关不用的服务。rsync、SSH、Telnet、FTP，平时用不到就关掉，少一扇门少一分事。但关服务不等于修复，补丁最终还是要打。
核一遍独立备份。离线移动硬盘、异地、云端，至少留一份。快照不算数，备份和 NAS 锁在同一台机器里，出事了就是同生共死。<#&!53#&!>知乎
最后说句扎心的。这两个月，群晖的"安全"二字被现实打了两回脸。真正靠不住的从来不只是 DSM，而是那种"设了密码就万事大吉"的错觉。
今晚睡前，先去把版本页面打开看一眼。
