群晖 NAS 勒索事件

已确认的事实与证据分歧

群晖与 360 指向不同漏洞。这是公开材料中的实质分歧。两者可能处理了不同受害设备，也可能存在归因错误。目前不能把两份报告拼成同一条攻击链。

360 将样本识别为 C3RB3R 勒索软件。加密文件后缀为 .L0CK3D，其中是数字 0。勒索信文件名为 read-me3.txt。没有这些文件，也不能证明设备未遭入侵。^[2]

漏洞为何能绕过登录保护

旧版 DSM 的远程代码执行漏洞

SA-24:20 包含 CVE-2024-10441。该漏洞允许远程攻击者在未登录时执行代码。Rapid7 的原始研究展示了 root 权限攻击。^[3][4]

恶意登录输入进入高权限后台服务。分隔符处理错误允许环境变量注入。攻击者随后可以写文件并执行命令。这条路径不要求正确密码。

因此，强密码和双重验证不能修复此漏洞。更改管理端口也没有消除漏洞。双重验证仍应保留，但不能替代补丁。

2026 年 9 月披露的 DSM 漏洞

CVE-2026-13639 涉及登录逻辑的随机性不足。CVE-2026-13684 涉及 SCGI 的输出处理错误。群晖将两者的 CVSS 评分均列为 9.8。它们允许未认证攻击者读写文件。^[5]

360 将本轮所处理事件归因于这两个漏洞。群晖的修复公告已发布。因此，这部分证据支持已知漏洞攻击。^[2]

“最新版中招”与零日漏洞的区别

零日漏洞判断需要确认漏洞及利用时的补丁状态。受害设备显示最新版本，不足以完成归因。调查还需要入侵时间、升级时间及入口证据。

以下路径需要排查，但目前不能当成个案结论：

• 攻击者在升级前进入，并保留了访问能力。
• DSM 已更新，但套件或容器应用仍有漏洞。
• 攻击者使用了泄露的账号或会话。
• 受感染电脑通过共享目录改写 NAS 文件。
• 设备恢复或重装后，才显示最新 DSM 版本。
• 设备确实存在尚未确认的新漏洞。

本报告判断：已知漏洞解释部分事件，可信度高。“全部事件均已解释”的证据不足。公开材料也不足以确认新版 DSM 的零日漏洞。

“没有补丁”还混入了 PHP 风险

PHP2Shell 是另一项需要处理的风险。SA-26:14 在 2026 年 10 月 31 日更新。公告列出了受影响 PHP、Calendar 和 Mail Station 的修复版本。^[6]

公告摘要仍提及 Hyper Backup，但产品表写明“不受影响”。阅读时应注意这一差异。本次未找到证据，将 PHP2Shell 确认为整轮攻击的统一入口。

QuickConnect 与 Cloud Sync 的不同作用

关闭 QuickConnect：减少远程访问入口

QuickConnect 支持直连、网络穿透和中继。没有手动设置端口转发，不代表 NAS 无法远程访问。只关闭中继，也没有关闭全部连接方式。^[7]

本次未找到可靠证据，证明 QuickConnect 自身漏洞导致这轮攻击。暂时关闭它，目的是在核查时减少入口。它无法清除已存在的恶意程序，也不会关闭独立的端口转发。

暂停 Cloud Sync：保护云端恢复副本

Cloud Sync 支持双向同步和仅上传本地变更。NAS 上的文件遭加密后，同步可能把损坏扩散到云端。删除操作也可能同步，具体取决于任务设置。^[8]

例如，原照片遭改写后，上传任务可能提交损坏版本。云端版本历史能否恢复，取决于保留期和权限。仅下载任务的传播风险不同。但 NAS 遭控制后，云端凭据也需要检查。

暂停可疑设备的上传任务，是为了保护恢复机会。这不能证明 Cloud Sync 是入侵入口。群晖建议有多版本备份需求时使用 Hyper Backup。^[9]

断网与关机的选择

CISA 建议优先隔离网络，以保留内存证据。其指南将关机作为无法断网时的措施。上表对持续本地加密的建议属于本报告判断。不要把“保留现场”理解为放任损坏继续。^[10]

发现入侵后，不要立即重装或恢复出厂设置。保留日志、勒索信和受影响文件。不要把干净备份接到可疑 NAS。请在干净电脑上保护受影响账号及云端访问权限。

设备核查与补丁清单

未发现入侵迹象时的操作顺序

1. 检查勒索信、异常后缀和批量文件变更。
2. 检查新增账号及异常登录记录。
3. 关闭不必要的公网管理入口。
4. 检查端口转发、UPnP、IPv6、反向代理及远程隧道。
5. 暂时关闭 QuickConnect。
6. 通过可信局域网记录完整 DSM 版本。
7. 按公告核对系统补丁。
8. 分别核对套件和容器应用版本。
9. 验证独立备份能够恢复文件。

发现入侵迹象时，应改用前述隔离流程。单纯升级系统不能清除已有入侵。

DSM 最低修复版本

请安装设备型号支持的最新安全更新。旧分支需要单独检查 SA-24:20。未列入上表，不代表旧分支安全。

不要只看“已是最新版本”的提示。群晖说明，可用更新会随系统配置变化。自动更新也不会自动升级至新的主要版本。请核对完整构建号和 Update 编号。^[11]

持续运行所需的恢复保护

建议让 DSM 仅向可信网络或受控 VPN 开放。保留双重验证。日常账号只应访问必要目录。

设备支持时，请启用不可变快照。群晖建议保护期为 7 至 14 天。选择前应检查容量与故障发现时间。不可变保护期内，快照无法正常删除以释放空间。^[13]

另保留独立的离线备份或不可变备份。请用实际文件测试恢复。RAID 不能替代这类恢复保护。云端同步目录也不能自动视为独立备份。

核查自己的 NAS 时需要的信息

记录下列信息，才能判断具体设备风险。无需提供密码、令牌或私密文件内容。

• NAS 型号，以及完整 DSM 构建号和 Update 编号。
• QuickConnect 是否启用。
• 路由器端口转发、UPnP 与 IPv6 访问规则。
• 对外提供服务的套件、容器应用及其版本。
• Cloud Sync 的同步方向与删除设置。
• 备份目的地、版本保留期及最近恢复测试结果。
• 是否支持并启用了不可变快照。

方法与来源

本报告整理于 2026 年 11 月 2 日。材料来自厂商公告、研究者论文和应急指南。优先采用原始来源，并比较不同来源的归因范围。

本次没有检查具体 NAS，也没有取得受害设备日志。Solar 原始微信文章未能读取。相关版本说法仅列为未核实信息。本文不估算受害设备总数，不保证未知入口不存在。

文中的处置建议是依据公开材料作出的判断。版本表仅对应所注明的安全公告。后续使用时，请重新核对公告修订及型号支持范围。

1. 群晖：关于旧版 DSM 勒索攻击的声明。2026-10-29，正文及 SA-24:20 引用。
2. 360：Cerber 勒索攻击群晖 NAS 事件预警。2026-10-29，入口归因、样本行为及防护建议。
3. 群晖：Synology-SA-24:20。参见 Detail 与 Affected Products；漏洞修复分批发布。
4. Rapid7：Disguise Delimit。DEF CON 33 论文，第 10 页起的 DSM 漏洞分析。
5. 群晖：Synology-SA-26:13。2026-09-18，Affected Products 与各 CVE 详情。
6. 群晖：Synology-SA-26:14 PHP2Shell。2026-10-31 修订，产品表、Mitigation 与 Revision。
7. 群晖：QuickConnect 白皮书。How QuickConnect Works，连接检测、穿透与中继。
8. 群晖：Cloud Sync 文档。同步方向、删除设置与版本行为。
9. 群晖：使用 Cloud Sync 备份到公有云。Notes 中的多版本备份建议。
10. CISA：StopRansomware Guide。第 21 页，隔离网络与关机的取舍。
11. 群晖：DSM System Update。更新兼容性、手动更新及自动更新范围。
12. 小众软件：群晖 NAS 遭勒索病毒攻击。2026-10-29，提供 Solar 原文入口；仅用于定位争议。
13. 群晖：Snapshot Replication 快照文档。不可变快照及保护期。