群晖 NAS 被勒索：先升 DSM，再开不可变快照
这两天我一直在刷 Reddit 和 BleepingComputer 的帖子。同一类求助刷了几十屏：NAS 里的照片、设计稿、项目文件一夜之间全打不开，文件名后面挂着 .LOCK3D 或 .L0CK3D，每个目录里多出一个 read-me3.txt。
不是一台两台，是集中爆发。
这轮的主角是群晖，勒索家族被应急响应团队暂命名为 C3RB3R——老牌 Cerber 的 Linux 变种。据应急团队通报，赎金开价 0.085 BTC，5 天不付翻倍。加密用 AES/ChaCha20 加 RSA 公钥封装，没有私钥基本不具备自行恢复的可能，目前也没有公开的通用解密工具。
下面这份东西我按「先看清、再自查、再修、再防」的顺序写。急着动手的可以直接跳到第三节。
一、时间线：这不是一个新漏洞，是两层都没补
把官方公告按时间排开，事情的形状就清楚了。
- 9 月 18 日｜Synology-SA-26:13，修 DSM 本体一批漏洞。最狠的两个是 CVE-2026-13684（SCGI 编码问题）和 CVE-2026-13639（登录逻辑熵不足），都是 CVSS 9.8、无需认证就能远程读写任意文件。
- 10 月 22 日｜Synology-SA-26:14（PHP2Shell），CVE-2026-109618 与 CVE-2026-109619，两个也都是 9.8 分的未认证远程代码执行。受影响的不是一个包，是一串：PHP 7.4 至 8.4、Mail Station、Synology Calendar。
- 10 月 29 日，群晖更新 SA-26:14，并发出安全提醒：攻击者正在利用一个2024 年 12 月就已经完成修复的漏洞（CVE-2024-10441，同为 9.8 分）攻击仍跑旧版 DSM 的设备。
- 10 月下旬，大规模中招帖开始出现。
注意最后那条的时间差：一个 18 个月前就补好的洞，到 2026 年 10 月还在放倒设备。攻击者没有用什么新招，用的是「补丁发了，机器没打」。
二、先花十分钟自查：你到底在不在射程里
别急着升级，先用十分钟搞清楚自己的暴露程度。五项，都能在 DSM 里自己看。
| 查什么 | 在哪看 | 什么算过关 |
|---|---|---|
| DSM 版本 | 控制面板 → 信息中心 | 7.4-90075 / 7.3.2-86009-4 / 7.2.2-72806-9 / 7.2.1-69057-12 及以上 |
| 套件版本 | 套件中心 → 已安装 | PHP、Mail Station、Synology Calendar 都在修复版本之上 |
| 公网暴露 | 控制面板 → 外部访问；路由器端口转发列表 | 没有任何一条转发指向 NAS；UPnP 关闭 |
| 快照 | Snapshot Replication → 快照 | 有快照，且标记了不可变（盾形图标） |
| 账号 | 控制面板 → 用户与群组 | 默认 admin 已停用，管理员都开了双重验证 |
五项里只要有一项不过关，就把这篇看完再动手。
自查公网暴露有个更直接的办法：用手机流量（不是家里 Wi-Fi）访问 你的公网IP:5001。如果弹出了 DSM 登录界面——恭喜，你现在正暴露在公网上，而且是这轮攻击者最喜欢的形态。
三、五个误会，解释「我升级了为什么还中招」
评论区最常见的一句是「我已经是最新版了，照样被加密」。这句话背后通常藏着五个误会。
误会一：升了 DSM 就等于补全了
不等。DSM 是系统，套件是另一条线。SA-26:14 修的是 PHP 层，走的是套件中心的更新，DSM 更新里根本推不到。
群晖自己在公告里写了句很关键的话：系统内置的 PHP 不暴露在外网，被利用的风险很低。但只要你装过依赖 PHP 的套件——Web Station、WordPress、phpMyAdmin 这一类——风险立刻就上来了，而这些套件往往正是为了对外提供服务才装的。
误会二：RAID 等于备份
不等。RAID 只是把同一份数据同步到多块盘上。文件被加密时，加密动作会在阵列里同步完成，一块盘被加密，剩下的盘一起加密。RAID 防的是硬盘坏，不防数据被改。
误会三：云同步盘等于备份
不等，而且更危险。Cloud Sync 这类工具是双向同步，本地的密文会被照样同步上去，把云端的干净版本覆盖掉。这次就有用户是眼看着密文往云上跑的，靠手快停掉同步才保住。
误会四：开了 2FA、改了端口就安全了
不够。2FA 和改端口防的是「有人猜密码登进来」。而这一轮走的是未认证的远程代码执行——不需要账号、不需要密码、不经过登录界面。门锁换得再好，窗户开着没用。
误会五：我有快照，所以不怕
这是最危险的一条。普通快照，有管理员权限就能删。攻击者拿到 root 之后的第一件事往往不是加密，而是先删快照、删备份，然后才动手。所以这轮里有人 RAID 6 加本地自动备份被一锅端——不是没做备份，是备份和主机在同一个权限范围内。
说句实的：有用户反映自己的版本比公告建议的还新仍然中招。这不等于存在 0day，更可能是套件层没跟上、容器被打穿、或者凭据泄露后的内网横向。入侵入口的最终结论以群晖官方溯源为准，现在网上流传的 CVE 说法并不统一，别把某个编号当定论。
四、升级：先备份，再按顺序来
顺序错了两件事：丢数据、或者把证据毁掉。
第 0 步：先备份，再升级
升级本身有失败的可能。升级前把重要共享文件夹做一次 Hyper Backup 到外接硬盘，拔线放一边。这一步花的时间，是给后面所有操作买的保险。
还有一个例外要先说清：如果你怀疑机器已经被入侵（有陌生账号、陌生计划任务、异常登录记录），先隔离取证，别急着升级。升级会覆盖部分系统文件，可能把溯源线索冲掉。
第 1 步：升 DSM
路径：控制面板 → 更新和还原 → DSM 更新。自动更新提示不出来时，去群晖官网按型号下载更新包，用「手动 DSM 更新」安装。
- DSM 7.4 → 7.4-90075 或更高
- DSM 7.3 → 7.3.2-86009-4 或更高
- DSM 7.2.2 → 7.2.2-72806-9 或更高
- DSM 7.2.1 → 7.2.1-69057-12 或更高
这里有个必须说清的现实：SA-26:13 只给了上面四个分支的修复版本。停在 DSM 6.2、7.0、7.1 或更早 7.2 的机器，往上没有对应的修复版可装。这种机器只有三条路：
- 彻底断开公网，只在内网用，远程走 VPN 从内网进
- 降级用途，只当纯存储，卸掉所有对外服务的套件
- 换机，把数据迁到还在支持周期内的型号
老机器支持周期到了，这不是群晖偷懒，是硬件平台的现实。但「旧」不等于「可以放着不管」——它只是从「能修」变成了「只能隔离」。
第 2 步：升套件
路径：套件中心 → 已安装 → 逐个更新。这一层最容易被忘，但它才是这轮的主要入口。
- PHP 7.4 → 7.4.33-0131（DSM 7.2+）/ 7.4.33-0122（DSM 7.0–7.1）/ 7.4.33-0010（DSM 6.2）
- PHP 8.0 → 8.0.30-0122（DSM 7.2+）/ 8.0.30-0104（DSM 7.0–7.1）
- PHP 8.1 → 8.1.34-0120 ｜ PHP 8.2 → 8.2.35-0171
- PHP 8.3 → 8.3.36-0051 ｜ PHP 8.4 → 8.4.27-0051
- Mail Station → 30000002.3.19-20333 或更高
- Synology Calendar → 3.0.4-21435 或更高
PHP 7.3 是特例：官方明确写了已停止维护，不再提供修复。还在用 7.3 的只有两条路——卸载，或者把上面的东西迁走。这一条没有补丁可打。
第 3 步：打开自动更新
群晖 10 月 29 日那条提醒里专门建议了这一项。位置在控制面板 → 更新和还原 → 自动更新。这一次事件最直接的教训就是：补丁的价值取决于它有没有被装上。
五、预防：七层，从「别被看见」到「被看见也能活」
下面七层按「投入产出比」排，前四层今晚能做完，后三层要花一个周末。
第 1 层：把暴露面收回来（最高优先级）
绝大多数家庭和小公司的 NAS，根本不需要从外网直接访问管理界面。需要的是文件，走 VPN 就够了。
- 路由器上删掉所有指向 NAS 的端口转发，关掉 UPnP（否则 NAS 可能自己开洞）
- 控制面板 → 外部访问 → 关掉「路由器配置」的自动端口转发
- 管理端口别用 5000/5001 直接对外：控制面板 → 登录门户 → DSM 改端口
- 远程访问改走 VPN：群晖自带 VPN Server 套件，或者 WireGuard、Tailscale 这类组网工具
- 控制面板 → 终端机与 SNMP：Telnet 直接关掉，SSH 不用时也关
- 控制面板 → 文件服务：FTP、TFTP 这类不加密的协议全关，要用就换 SFTP/FTPS
- 控制面板 → 登录门户 → 高级 → 反向代理：把过期的规则清掉——每一条都是一个对外的入口
第 2 层：把登录门锁上
- 停用默认 admin 账号。新建一个管理员账号，确认能登进去，再去「控制面板 → 用户与群组」停用原来的 admin。攻击者都知道这个用户名。
- 开双重验证。DSM 桌面右上角个人设置 → 安全性 → 双重验证。支持验证器 App，也支持 FIDO2 硬件密钥（最稳，成本比一块硬盘还低）。管理员账号必须开。
- 开自动封锁。控制面板 → 安全性 → 保护 → 自动封锁。建议「10 分钟内失败 5 次封 IP」，并把自己的常用 IP 加进允许列表，免得把自己锁在外面。
- 开帐户保护。控制面板 → 安全性 → 帐户 → 帐户保护。它针对的是单个账号被反复试密码，和自动封锁是两套机制，建议都开。
- 顺手开 DoS 保护，同一个页面上，防的是高频请求把服务打瘫。
- 密码规则。控制面板 → 用户与群组 → 高级 → 密码设置，要求长度与复杂度。
- 清账号。用不上的账号、长期不登录的账号，停掉或删掉。每多一个，就是多一扇门。
第 3 层：系统与套件保持干净
- 跑一次安全顾问。它是 DSM 内置的体检工具，会查弱密码、可疑登录、系统和套件的版本、以及配置漏洞，能一键修高危项。建议在「进阶设定」里开启定期扫描。
- 卸掉不用的套件。一个没人维护的老 Web 应用，就是一扇长期开着的门。这一轮受影响的 PHP 系套件正是如此。
- 容器要收着用。别把整个存储卷挂进容器；别用
--privileged；镜像要跟着升级。容器被打穿，拿到的是整台机器的权限。 - 默认端口改成非默认，只降噪音，不是边界——别把它当安全措施。
第 4 层：快照，日常的第一道恢复线
前提：卷必须是 Btrfs。EXT4 用不了快照，也没有原地转换的办法，只能重建卷再迁数据——所以新机初始化时就该选 Btrfs。
- 在套件中心装 Snapshot Replication
- Snapshot Replication → 快照 → 选共享文件夹 → 设置 → 排程 → 勾「启用快照排程」
- 频率按数据的重要程度定：常用文档每小时一次，归档类每天一次。快照是增量的，占用通常远小于源数据
- 保留策略用分级（按天/周/月），别只保留最近几个
- 勾选「让快照可见」，普通用户就能自己在
#snapshot文件夹里找回旧版本，不用每次都找管理员
快照占用多少空间，可以在 Snapshot Replication 里对某个共享文件夹做估算，别凭感觉预留。
第 5 层：不可变快照，这轮真正的分水岭
这是本文的重点，也是这次事件里唯一能「让攻击者白干」的一层。
不可变快照基于 WORM（Write Once Read Many）：在设定的保护期内，快照既不能删也不能改，连 DSM 管理员也不行；而且只要存储空间里还有不可变快照，这个共享文件夹、LUN 甚至整个存储空间都删不掉。保护期到期，系统自动解除锁定。
换句话说：攻击者拿到最高权限，也动不了这层。他只能加密现行数据，而你还有一份几天前的干净副本可以回滚。
硬前提，缺一不可：
- DSM 7.2 或以上（DSM Enterprise / PAS 也支持）
- 卷是 Btrfs
- 机型在官方支持清单里——这一条最容易踩坑。群晖官方列出的支持机型主要是 Plus 及以上系列：DS225+、DS425+、DS725+、DS925+、DS1525+、DS1825+、DS224+、DS423+、DS923+、DS1522+、DS1621+、DS1821+、DS2422+、DS3622xs+，以及 FS、SA、HD、RS 系列的大部分机架型号。入门级的 J 系列、Value 系列多数不在名单内，买之前一定要先查这一条
配置路径（官方流程）：
- Snapshot Replication → 快照 → 选共享文件夹（可按住 Ctrl 多选）
- 点「设置」→「排程」页，先勾「启用快照排程」并把频率设好
- 再勾「启用不可变快照」，设置保护期间
- 确定保存。之后在「快照清单」里把鼠标停在盾形图标上，就能看到剩余保护期
保护期设多长？官方建议 7 到 14 天。我的建议是按「你多久会发现出事」来算：天天用 NAS 的人 7 天够；一周才开一次的家庭相册，至少 14 天；小团队的关键业务数据，30 天更稳。
有个细节要提醒：保护期一旦设定，到期前改不回来，单个快照也无法取消。这是设计如此——不然攻击者第一件事就是把它关掉。所以设之前想清楚。
第 6 层：异地与离线，防的是「整台机器没了」
不可变快照挡得住加密，挡不住硬盘全挂、机器被偷、房子失火。所以还要有第三份。
- Hyper Backup 做版本化备份，目标是另一台 NAS、外接硬盘或云端。它保留完整版本历史，能回到任意一个时间点，不是只有最新一份
- USB 冷备：每周或每月备份一次到移动硬盘，备份完拔线放一边。物理断开是最朴素也最有效的隔离
- 复制到第二台 NAS 的不可变快照：Snapshot Replication → 复制 → 新建复制任务，在「设置复制排程」页勾「启用不可变快照」并设保护期。这样干净副本在另一台硬件上，攻击者拿到第一台也删不掉
- 云端对象锁：群晖 C2 的 Object Lock 可以让云端副本在保留期内谁都改不了、删不掉，包括管理员。它的价值在于「和你的网络、你的凭据完全分离」
这里用一个比 3-2-1 更严的说法：3-2-1-1-0。三份副本、两种介质、一份异地、一份不可变或离线、以及最后那个 0——演练过、确认能零错误恢复。
最后那个 0 最容易被跳过，也最要命。没演练过的备份不是备份，是希望。建议每半年挑一个真实文件夹，实际恢复一次，看它能不能打开、文件数对不对。
第 7 层：监测，把「第二天早上才发现」变成「几分钟内发现」
加密不是瞬间完成的，几 TB 数据要跑很久。这段时间里，文件行为会变得非常异常：
- 单个进程在一分钟内修改成千上万个文件
- 扩展名批量变更
- 修改时间戳密集聚集在同一个时间窗
群晖的 Active Insight（云端监控，按主机订阅）就靠这三类特征识别，命中后通常几分钟内告警；在支持的机型上，它还能在检测到异常的那一刻自动抓一张不可变快照，给你留一份事发当时的干净副本（限制是每个共享文件夹每天一次）。
不想订阅也有替代：控制面板 → 日志中心，定期看登录失败与管理员操作；文件服务里开审计日志；把异常告警推到手机。关键是有人真的会看——很多案例里，日志早就写满了，只是没人翻。
六、已经中招了：分三个阶段处置
顺序很关键。做错一步，可能把可恢复的变成不可恢复的。
阶段一：头 30 分钟，只做「止血」
- 物理拔网线。不是关 Wi-Fi、不是点「断开连接」、不是关电源，是拔线。断掉它继续加密和往外传的可能。
- 停掉同步与备份任务。Container Manager 里所有容器停掉；Hyper Backup、Cloud Sync、共享文件夹同步全部暂停。这一步是为了防止密文把云端和备份端的干净数据覆盖掉。
- 别关机、别重启、别重装。如果加密还在进行，专业团队有机会从内存里取出密钥——重启就没了。你自己不要尝试这类操作，但要给它留机会。
- 保留现场。每目录的
read-me3.txt、几个加密样本、日志中心里的登录与文件传输记录、套件日志，一概别删。
阶段二：当天，判断能不能回滚
- 打开 Snapshot Replication → 快照 → 快照清单，找加密发生之前的那一个时间点。比如上午 10:30 发现被加密，就选 10:00 或更早的那一份。
- 有盾形图标的（不可变快照）是最稳的，攻击者删不掉它。
- 回滚操作：右键那份快照 → 还原。建议勾选「还原前先创建当前状态的快照」——这会把被加密后的现场保留下来，方便后续溯源，也给自己留一次后悔的机会。
- 还原完成后，抽查文件能不能正常打开、数量对不对。TB 级数据通常几分钟到十几分钟。
注意两件事：回滚会覆盖当前文件夹里的所有内容，加密之后新产生的文件如果有用，先手动导出；回滚不会修补入口，漏洞还在，改完必须立刻做第五节的加固，否则几小时后会再来一次。
阶段三：恢复与复盘
- 从备份恢复：Hyper Backup → 还原。恢复前先对备份做一次恶意软件扫描（安全顾问里带扫描功能），别把密文又搬回来。
- 换不换机：如果入口是套件漏洞、且机器还能升级到修复版本，重装系统 + 恢复数据是标准做法；如果机器已经不在支持周期内，别修了，换机。
- 复盘入口：翻日志中心，看攻击前 72 小时有没有陌生 IP 登录成功、有没有新建的计划任务或账号、有没有异常的套件安装记录。这一步决定你有没有堵住同一个洞。
- 改全部密码，包括管理员、SMB 用户、套件账号、以及任何复用过的密码。
关于赎金
不建议付。三个理由：公开渠道没有通用解密工具，付了也常常拿不到钥匙；群晖官方材料里提到，攻击者针对备份的尝试成功率约 57%，而备份被攻破时，恢复成本大约是没被攻破时的 8 倍；另外相当一部分受害者在一年内会被再打一次。
七、三档清单：按你在哪一档做
| 家庭个人 | 小团队（5~20 人） | 企业 | |
|---|---|---|---|
| 必做 | 断公网 + 改端口 + 2FA + 升 DSM 与套件 | 以上 + 防火墙规则 + 不可变快照 + Hyper Backup 异地 | 以上 + 双人管理权限 + 审计日志留存 + 变更流程 |
| 数据保护 | 每小时快照 + 移动硬盘冷备 | 快照 + 复制到第二台 NAS（不可变）+ 云端对象锁 | 3-2-1-1-0 全套 + 每半年恢复演练 |
| 监测 | 日志中心每周看一眼 | Active Insight 或第三方监控 + 告警推送 | 集中监控 + 事件响应预案 + 演练 |
| 最容易漏 | 以为开了 2FA 就安全 | 以为有备份就安全（备份和主机同权限） | 以为买了安全设备就安全（不升级等于没买） |
八、我的判断
这件事最刺眼的地方不是漏洞多，是那个洞在 18 个月前就被补上了。
我们习惯把 NAS 当成「一块联网的硬盘」，所以对它没有任何运维心态：买回来插上网线，设个密码，然后几年不动。但它实际上是一台7×24 小时开机、跑着 Linux、常常直接对公网开端口的服务器。你给一台公网服务器五年不打补丁，出事只是时间问题。
所以如果只能做一件事，我选关掉公网暴露。如果只能做两件事，第二件是打开不可变快照——它不贵、不占多少空间、配置十几分钟，但它决定了出事那天你是「回滚两小时前」还是「从头再来」。
如果还能做第三件，是把恢复演练排进日历。前两件决定你能不能活下来，第三件决定你活下来的时候有没有底。
补丁会一直有，攻击也一直会有。真正拉开差距的，不是你知道多少，是你有没有给自己留一条退路。
——
参考来源：群晖安全公告 SA-26:13（2026-09-18）、SA-26:14 / PHP2Shell（2026-10-22 发布，10-29 更新）、群晖 2026-10-29 安全提醒；群晖知识中心《不可变快照是什么》《哪些机型支持 WriteOnce 与不可变快照》《如何提升 NAS 安全性》；群晖 DSM 7.2 使用手册（安全顾问、自动封锁、帐户保护、双重验证章节）；勒索家族特征与赎金金额来自应急响应团队公开通报。具体版本号与机型清单以群晖官网公告为准。
相关阅读
