群晖 NAS 勒索病毒安全防护指南

一、最近发生了什么（2026 年最新公告）

从群晖官方安全公告页可以看到，2026 年下半年连续披露了多个严重（Critical）等级漏洞，这些都是勒索病毒最典型的入侵入口：

其中 SA-26:13（DSM 本体漏洞） 和 SA-26:14（PHP RCE） 是最危险的——攻击者无需登录即可远程执行代码（CVSS 9.8，AV:N/PR:N），拿到 shell 后就能部署勒索病毒加密全盘。

二、勒索病毒是怎么进来的（安全原因拆解）

群晖 NAS 被勒索病毒盯上，几乎都不是单一原因，而是几个因素叠加：

1. DSM 直接暴露在公网（最常见、最致命）

• 用户在路由器上做了端口转发（5000/5001 → 公网），让 DSM 登录页对全网开放。
• 上述 CVE-2026-13684 / CVE-2026-13639 这类未授权 RCE 漏洞，只要能访问到 DSM 端口就能打，不需要密码。
• 这是 2014 年 SynoLocker、以及后续多次勒索事件的共同根因。

2. 未及时更新 DSM 和套件

• SA-26:14 里的 PHP RCE，影响的是 Calendar、Mail Station 等套件内嵌的 PHP。很多用户只升级 DSM 本体，不升级套件，导致套件里的旧 PHP 仍有漏洞。
• PHP 7.3 已 EOL，群晖明确说不会提供修复——还在跑 PHP 7.3 的环境就是敞着门。

3. 弱密码 / 默认凭据

• admin 账户没改密码、或用了 admin/admin、password 这类弱口令，被暴力破解撞库。
• SA-26:13 里有多个已认证用户可利用的漏洞（CVE-2026-13673、CVE-2026-6205），拿到普通用户权限就能提权写文件。

4. 共享链接（Share Link）被滥用

• CVE-2026-13666（CRLF 注入）就是通过分享 URL 触发的——用户随手生成的公开分享链接，可能被构造恶意 URL 写入文件。

5. 套件供应链漏洞

• SA-26:15 的 Brotli 溢出，根源在 Google Brotli 库 1.0.3–1.2.0，通过 Node.js 生态传导到群晖的 Chat Client 等桌面工具。你不动 DSM，但客户端工具本身有洞。

三、怎么防护（按优先级排序）

🔴 第一优先：立刻更新（这是最有效的单一动作）

DSM 本体：

套件（同样重要，别只升 DSM）：

操作路径：DSM → 控制面板 → 更新和还原 → DSM 更新；套件中心 → 更新全部。

🔴 第二优先：不要把 DSM 暴露到公网

🟡 第三优先：加固账户与认证

• 改掉 admin 密码，用 16 位以上随机密码（密码管理器生成）。
• 启用 2FA（两步验证）：控制面板 → 安全性 → 帐户 → 启用两步验证（支持 TOTP，用 Google Authenticator / Authy）。
• 禁用 guest 账户。
• 给每个共享文件夹设最小权限，不要全家桶都给 rw。

🟡 第四优先：备份，而且是 3-2-1 备份

勒索病毒加密的是在线数据，离线备份是最后一道防线：

• 3 份副本：NAS 上 1 份 + 外接 USB 1 份 + 远程（另一台 NAS / 云端）1 份。
• 2 种介质：本地硬盘 + 异地（USB / 另一台 NAS / 云存储）。
• 1 份离线：备份完后拔掉 USB 盘，勒索病毒够不着离线的盘。
• 用 Hyper Backup 做加密增量备份到外部目标；用 Snapshot Replication（Btrfs 文件系统）做快照，快照是只读的，勒索病毒无法加密已有快照。

⚠️ 注意：SA-26:14 公告里 Hyper Backup 标为 “Not affected”，但备份目标端（如另一台 NAS）也要打补丁，否则攻击者可能通过备份通道横向移动。

🟢 第五优先：监控与告警

• 启用 DSM 通知：控制面板 → 通知设置，配置邮件 / SMS 告警，关注登录异常、磁盘异常。
• 定期检查登录日志：DSM → 信息中心 → 日志，看有没有陌生 IP 登录成功。
• 配置资源监控：如果 CPU 突然 100% 持续高负载（加密过程特征），可能是正在被加密，立即断网。

四、关键漏洞速查表

五、一句话总结

群晖 NAS 勒索病毒的根本原因几乎都是"DSM 暴露公网 + 未及时打补丁 + 弱密码"三件套。 2026 年 9–10 月群晖连续修了 DSM 本体和 PHP 的多个 CVSS 9.8 未授权 RCE 漏洞（SA-26:13、SA-26:14），这些就是当前最紧迫的攻击面。立刻升级 DSM + 所有套件、关闭公网端口转发、启用 2FA、做好离线备份——做到这四步，绝大多数勒索病毒都进不来。