2026-11-03阅读约 8 分钟安全预警

2026 年 10 月以来,不少企业的群晖(Synology)NAS 一夜之间文件全部打不开,文件后缀变成 .L0CK3D,每个目录里多了一份 read-me3.txt 勒索信。360 安全卫士确认,这一轮攻击来自老牌勒索家族 Cerber 的变种「C3RB3R」;群晖官方也于 10 月 29 日发布声明,确认有攻击者在利用漏洞攻击未及时更新 DSM 的设备,加密数据并勒索赎金。

很多中小企业把共享盘、设计文件、财务资料、备份都放在一台群晖上,一旦被加密就是全公司停摆。这篇文章把目前已经核实的信息、企业怎么自查、以及一份可以直接照做的防护清单整理在一起。

1. 事件概述:目前已确认的信息

  • 2026-09-18:群晖发布安全公告 Synology-SA-26:13,一次修复 DSM 的 8 个漏洞,其中 CVE-2026-13684(SCGI)和 CVE-2026-13639(登录逻辑熵不足)为严重级(CVSS 9.8),允许未经认证的远程攻击者读写任意文件。
  • 2026-10 起:360 反勒索服务连续接到群晖 NAS 被加密的求助,分析确认为 Cerber 变种 C3RB3R,入口正是上述 CVE-2026-13639 和 CVE-2026-13684——补丁发布约一个月,大量设备仍未更新,属于典型的「1day 漏洞」攻击。被加密文件后缀为 .L0CK3D,勒索信为 read-me3.txt。(来源:360 安全卫士《Cerber 勒索攻击群晖 NAS 事件预警》)
  • 2026-10-29:群晖官方声明,已发现攻击者利用一个早在 2024 年 12 月就已修复的漏洞(详见 Synology-SA-24:20)攻击运行过时 DSM 版本的设备,目的是加密数据、勒索赎金,强烈建议所有用户立即更新 DSM 并开启自动更新。(来源:群晖官方新闻稿)
  • 2026-10-30:澳门司法警察局网安中心发布警情通告,称群晖 NAS 正遭受 Cerber 勒索软件的「全球自动化大规模攻击」,呼吁所有机构立即采取防范措施。(来源:澳门特区政府入口网站)

说明:关于攻击入口,360 的分析指向 2026 年 9 月修复的漏洞,群晖官方声明则指向 2024 年 12 月已修复的漏洞。两者结论一致的是——被攻击的都是没有及时更新 DSM 的设备。不管哪种情况,升级到最新版本都是第一步。

2. 影响范围:哪些设备需要马上处理

根据 Synology-SA-26:13,以下版本低于安全版本的 DSM 均受影响:

  • DSM 7.4:需升级到 7.4-90075 或以上
  • DSM 7.3:需升级到 7.3.2-86009-4 或以上
  • DSM 7.2.2:需升级到 7.2.2-72806-9 或以上
  • DSM 7.2.1:需升级到 7.2.1-69057-12 或以上

还要特别注意两类设备:

  • 长期没升级的老设备——DSM 7.2.2-72806-1、7.2.1-69057-6、7.2-64570-4、7.1.1-42962-7、6.2.4-25556-8 以下的版本,连 2024 年的 SA-24:20 补丁都没打,正是群晖官方声明中点名的攻击目标。
  • 装了 PHP 相关套件的设备——群晖在 2026-10-22 另发布了 Synology-SA-26:14(PHP2Shell),Calendar、Mail Station 及 PHP 7.4–8.4 套件存在严重远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619),需要到「套件中心」单独更新;PHP 7.3 已停止维护,不再提供修复。

NAS 暴露在公网(端口映射、DDNS 直连管理界面)的设备风险最高。只在内网使用的设备风险相对低,但内网里任何一台中毒电脑,也可能通过共享文件夹把 NAS 上的数据一起加密。

3. 企业该怎么查:15 分钟自查

  1. 查版本:登录 DSM →「控制面板」→「信息中心」查看 DSM 版本号,对照上面的安全版本;再到「控制面板」→「更新和还原」检查是否有可用更新。
  2. 查公网暴露:检查路由器 / 防火墙有没有把 5000、5001、22、445 等端口映射到 NAS;确认 QuickConnect、DDNS 是否开启、是否真的有人在用。
  3. 查账号:「控制面板」→「用户与群组」,看 administrators 群组里有哪些账号,有没有不认识的新账号,默认 admin 账号是否被重新启用。
  4. 查日志:打开「日志中心」,关注异常时段 / 境外 IP 登录、连续登录失败、短时间大量文件修改或删除。
  5. 查文件:在共享文件夹里搜索 .L0CK3D 后缀和 read-me3.txt。
  6. 查备份:确认快照、Hyper Backup 任务最近一次是否成功,备份目标是不是同一台 NAS 或一直连着 NAS 的 USB 硬盘(这种备份会被一起加密)。

如果已经中招:立刻拔网线断网,不要急着重置、重装或删除文件;截图保存存储管理器、快照列表、用户与群组和日志中心,保留勒索信和几个被加密的样本文件,再评估能否从攻击前的快照或离线备份恢复。不要支付赎金。群晖官方的处理建议见 Synology 知识中心:NAS 受到勒索软件攻击该怎么办。

4. 防护建议:群晖 NAS 安全加固清单

下面这份清单综合了群晖官方、360 和澳门网安中心的建议,以及我们日常给客户做 NAS 运维的经验,按优先级排列:

  1. 立即更新 DSM 和套件:升级到上面列出的安全版本或更高;在「套件中心」更新全部套件(尤其是 PHP、Calendar、Mail Station);开启 DSM 自动更新(至少自动安装重要更新)。已停止支持、无法再升级的老型号,应规划替换。
  2. 关闭公网暴露:不要把 DSM 管理端口(5000/5001)、SSH(22)、SMB(445)直接映射到公网。外网访问优先走 VPN;QuickConnect 要审慎使用,不用就关掉,用的话也要配合强密码和两步验证。
  3. 禁用默认 admin 账号:新建一个不易猜测名称的管理员账号,停用系统默认的 admin 和 guest。
  4. 强密码 + 两步验证(2FA):所有管理员账号强制开启 2FA;全员使用 12 位以上强密码,并在「安全性」里开启密码强度规则。
  5. 防火墙 + 自动封锁:开启 DSM 防火墙,只放行必要端口,管理后台仅允许公司内网或可信 IP 白名单访问;开启「自动封锁」,多次登录失败自动封禁 IP;开启「账号保护」。
  6. 3-2-1 备份 + 不可变快照:重要数据至少 3 份、2 种介质、1 份异地或离线;共享文件夹开启 Btrfs 快照,并启用快照防篡改(不可变快照),保留期内连管理员都删不掉;至少一份离线备份平时与 NAS 物理断开;定期做恢复演练,确认备份真的能用。
  7. 最小权限:按部门 / 岗位分配共享文件夹权限,普通员工不给管理员权限;清理离职员工账号、闲置共享链接,停用不用的套件和服务(Web Station、PHP 等不用就卸载)。
  8. 日志监控与告警:配置日志中心和邮件 / 短信通知,对异常登录、大量文件修改、存储异常及时告警;定期(建议每月)复查登录日志和管理员账号。

这 8 条里,第 1、2、6 条决定了「会不会被攻破」和「被攻破后能不能恢复」,如果时间有限,请先做这三条。

5. 思通思可以帮你做什么

我们长期为上海中小企业提供 NAS、服务器和网络的日常运维。针对这一轮群晖勒索攻击,可以提供:

  • NAS 安全检查:上门或远程检查 DSM 版本、公网暴露、账号权限、防火墙和备份状态,出一份问题清单。
  • 安全加固与升级:按上面的清单完成升级、VPN 改造、2FA、防火墙和不可变快照配置,升级前先做好数据备份。
  • 备份体系搭建:按 3-2-1 原则设计本地快照 + 离线 / 异地备份,并定期做恢复演练。
  • 长期托管运维:纳入 IT 运维外包 或 服务器与网络托管 服务,补丁、日志、备份有人持续盯着。

需要帮忙检查公司的群晖 NAS,可以 联系我们免费咨询,或直接拨打 021-56526978。

参考来源