#NAS 群晖发布 DSM 新安全公告：黑客借助漏洞无需验证身份即可读写任意文件，存在勒索加密风险。群晖在 11 月 11 日发布安全公告透露两项关键漏洞，包括 SQL 注入和 rsync 身份验证。黑客借助 SQL 注入漏洞可以绕过身份验证远程读写任意文件，后者可以用来读取特定文件。相关修复程序已经在 10 月 12 日发布，请用户尽快检查 DSM 版本。黑群晖用户若无法升级，请确保 NAS 仅在内网，不要使用 DDNS 或 QC 将其暴露到公网。注：此次漏洞与此前部分用户遇到的勒索攻击不同，之前黑客使用的是 2024 年 9 月的漏洞。查看全文：https://ourl.co/128314

网络附加存储设备 (NAS) 设备制造商群晖 (Synology) 日前发布 SA-26:19 安全公告，透露已经修复的两项关键安全漏洞：CVE-2026-76954/85101。这些漏洞已经在 10 月 12 日发布的 DSM 更新中修复，但因为漏洞危害极高，所以群晖压到现在才发布安全公告，给用户预留更多时间升级新版本。

注：此次漏洞与此前部分用户遇到的勒索攻击不同，之前黑客使用的是 2024 年 9 月的漏洞。

CVE-2026-76954：该漏洞位于群晖 DSM 身份验证 API 中，属于 SQL 注入漏洞。攻击者借助该漏洞可以远程读写任意文件，因此对用户而言这个漏洞给 NAS 带来勒索加密风险。

CVE-2026-85101：该漏洞位于群晖 DSM 附带的 rsync 同步组件中，也属于身份验证绕过漏洞。攻击者借助该漏洞可以读写特定文件并造成有限的拒绝服务 (DoS 攻击)。

这些漏洞对暴露在公网的 NAS 来说危害程度极高，随着时间推移可能会有更多黑客发掘漏洞并使用自动化脚本在全网扫描探测，发现未更新的 NAS 时就可能利用漏洞展开攻击。

• DSM 7.4.x 分支版本：需更新到 7.4.1-90080 Update 1 或更高版本
• DSM 7.3.x 分支版本：需更新到 7.3.2-86009 Update 5 或更高版本
• DSM 7.2.2 分支版本：需更新到 7.2.2-72806 Update 10 或更高版本
• DSM 7.2.1 分支版本：需更新到 7.2.1-69057 Update 13 或更高版本

注：部分设备可能因地区或系统状态等原因没有显示更新通知，用户可以根据设备型号从群晖下载中心获取更新手动安装。若无法及时升级新版本，请确保 NAS 仅在内网使用，避免将相关接口暴露到公网。

消息源：群晖安全公告 Synology-SA-26:19 DSM

热门推荐美国硅谷/韩国首尔VPS服务器，仅需99元/年。另有国内低延迟3年版服务器，仅需528元。库存有限售完即止。