听说最近群晖中招了， V 友们知道是什么情况吗？非群晖 NAS 用户需要注意什么？

[CodeDAI]

360 的公告
https://www.360.cn/n/13055.html

[Autonomous]

不暴露任何端口，只通过 VPN 回家，不怕任何漏洞。

[klgd]

发生了啥？

[CodeDAI]

@Autonomous 但是有时候家里人要用，VPN 回家对他们来说就不太方便

[CodeDAI]

好像是中 L0CK3D 了

[shuang930225]

有群友中招勒索病毒了

[liuzimin]

我看了下 L 站上的那个帖，说是帖主在群晖上挂了 gitlab 并公开了，正巧最近 gitlab 有漏洞被曝出来，然后被一锅端。那这样的话，也不算 DSM 的问题吧。

[felixlong]

PHP 的漏洞引起的吗？ NAS 基本上都是使用的 PHP.

[doug]

由于交不起电费 我家的是每天固定开一小时 然后自己关机的 感觉风险不大

[liuzimin]

@felixlong #7 我问了下 AI ，说群晖的 DSM 核心是用 C/C++写的，网页界面是用 JavaScript/HTML/CSS 。

[mrzx]

@Autonomous 更新下认知吧，很多路由器上有后门。涉及各大品牌。很可笑的，很多路由器都有“运维调试接口”

尤其是很多 openwrt 的插件，底层代码投毒也不是第一次了。第三方魔改 openwrt 固件藏后门发生次数真的是太多了。

及时关注信息安全，及时更新才能避免损失。

[liuzimin]

@mrzx #10 市面上的爆款成品路由器也会有吗？那感觉有点束手无策啊。

[chennqqi]

@Autonomous VPN 漏洞又不是没有出过

[dowern]

刚看 已经中 L0CK3D 了

[goodryb]

貌似不是群晖自身的问题，其他服务被突破导致群晖上的文件给加密了

[ntdll]

已经中招，白群，最新版，网上资料所是 docker 或者 gitea 一类的漏洞导致的，但是这些我都没装。初步猜测可能是群晖自身存在某种 0day 导致。

索性只是浪费点时间，重要数据都有额外的备份，损失并不算大。

[CodeDAI]

@dowern 有开什么东西吗

[hallieastem]

境外 IP 入站全 ban,国内入站 IP fail2ban 或者其他任意诱捕功能应该挡掉 99.9%的恶意尝试了

[h3110w0r1d]

@liuzimin 只要支持远程管理路由器的，都有后门

[Ericality]

你倒是把背景说清楚啊 所有在用群晖的 v 友立刻检查自己的 nas 现在群晖被攻破了 暂时还不清楚具体路径 但是我的 nas 上面（ 7.1 ）出现了 lock3d 加密数据 还有勒索信 不过这个脚本很菜 菜到只加密了第一层文件 其他的地方只是留下了勒索信就没了 快照什么的也还在 要么是攻击者太菜写的逻辑不行 要么是我小文件太多了把脚本撑爆了 反正我这边基本没损失 建议问题解决前不要连接外网

[someonesnone]

我群晖只有备份数据才开机 :D

[xiwangly]

woc ，这得赶紧隔离公司的 NAS 公网访问 (:

[xyz3201]

@Ericality 你好，我用群晖的 Snapshot 直接找快照有 4 个点，但是从还原点进去看不到具体的备份，是说备份也被破坏了吗？ 今天看到消息准备断网关机发现凌晨刚中招

[ntdll]

虽然没啥用，但是分享一下，从部分其未加密的文件里，我看到了一些当时留下的系统日志：

10-28 凌晨 00:05–04:08：大量境外 IP 对 admin 的 WebUI 爆破，全部失败；（因为 admin 在我的设备上是禁用的）
14:46:46：46.8.78.122 又一次失败登录；
14:54:37：加密开始；（开始出现 LOCK3D 文件）

也就是初步推断，侵入与弱密码无关，与暴露 ssh 可能性也不大，更可能是 WebUI 的登入点存在某些 bug 。

各位可以考虑以后这类服务都需要通过 Zero Trust 后才允许访问。至于恢复的可能性并不太高了。

[bullfrog]

Tailscale, cloudflare tunnel

[anyliz]

@ntdll 更改默认端口了吗？

[shalingye]

感觉这波逮着 nas 小白薅啊，不构建自己的数字生态迟早要付出代价

[jtshs256]

360 的公告感觉也不对，目前有见到 7.4.1-u1 、7.2.1-u13 中招的案例，这些都是修了漏洞的版本。本来已经把仅暴露在 v6 的端口都关了，这下怕是 qc 也得关

[radiohide]

@ntdll 感觉是 php 的问题呀 前几天不是有 php 的漏洞爆出来 一个内存分配失败的后策略会被利用获取代码运行权限的漏洞，跟你这个过程有点像 群晖是 php 的吧

[nkidgm]

不是，你们都这么大胆，直接把群晖暴露到公网的嘛？我一般都是先套个 VPN 再打开群晖。

[Moatkon]

感觉群辉时不时就中招

[wxjback]

看了说明，9.18 就暴露的漏洞，群晖也早就发布了自动更新的修复，除非你关闭自动更新，应该都修复了吧。

[alfawei]

@jtshs256 1. 消息没有什么具体来源？ 没有啥信息内容。搞个惊悚的标题。
2. 最近群晖官方更新了 PHP 漏洞，其他厂商好像并没有发布什么消息，也应该和这个 PHP 漏洞无关。
3. Reddit 和群晖英文官方论坛没有这个反馈
4. Google 搜索 synology 0day 24 小时和 1 小时都没有什么有价值内容
5. 目前所有的信息都似乎是简中区域的内容

[mrzx]

@liuzimin 多呢，说太多会得罪国内大厂的人。V2EX 在各大大厂的牛马都有.

就说个国外的，

上个月 9 月，RrouteOS 爆出出一个严重的安全漏洞，CVE-2026-86060 CVE-2026-67279 CVE-2026-67276 CVE-2026-67277 等等
只要猜对管理员名称,并且你开启了 ssh 服务就能黑进来，拿到路由器最高管理员权限，很多人账户就是默认账户 admin,ipv4 地址才 40 多亿个，利用这个漏洞扫完一遍很快的，一堆公网跑了 RouteOS 的路由器被黑了。

[wclebb]

PHP 漏洞？

[StevenTong]

看了网上说的，最新系统也中招。

[Autonomous]

@mrzx
@chennqqi

哦，我用 UniFi UCG-Fiber

[emmo]

群晖技术拉的很。从这几年的软件更新就可以看出来了。爆出 0day 真的不意外。

[mrzx]

@Autonomous 哈哈，这次我不说了，你自己悟吧

[RogerSelf]

@ntdll #15

感谢分享，这个信息太关键了，请问说的最新版是 DSM 7.4.1-90080 Update 1 吗？

方便分享一下对外公布了哪些服务吗？

[emmo]

@wxjback 看 sloar 的发文。最新版系统也中招。

[EyebrowsWhite]

在用群晖，很幸运没中招，马上把端口转发关了。

看了下相关信息，今天早上 360 发的文章 https://www.360.cn/n/13055.html 涉及的漏洞是 9 月份的，已修复，https://www.synology.com/en-br/security/advisory/Synology_SA_26_13 这次修复涉及 8 个漏洞，其中两个 CVSS 9.8 ，不需要登录就可以利用，其余六个要登录才可以。结合 AI 分析了下，只要公网能访问 web 端口，且没有升级版本就可能中招，没有中招可能只是没被扫到。

搜索“C3RB3R synology”可以找到一些相关内容，这里贴两个链接：
https://www.oschina.net/news/503279
https://www.reddit.com/r/synology/comments/1xhqgov/well_it_finally_happened_my_first_real_ransomware/

另外，这里可以看群晖 DSM 版本发布记录 https://www.synology.com/en-global/releaseNote/DSM

[fish3125]

群晖的入口也是 nginx ，
修改 DSM.mustache ，
ssl_reject_handshake on;
和 server_name 下使用 if 来允许指定域名访问也可以减少许多攻击面。

[alfawei]

@emmo #40 系统最新和自己安装的一些服务是分开的。这个人出现问题的原因不明朗，是不是是 PHP 没有更新漏洞？是否有其他对外服造成?

[Autonomous]

@mrzx UniFi 的网关路由器运行 WireGuard ，把群晖保护在内网，这样安全吗？

[wclebb]

@wclebb https://www.synology.com/en-global/security/advisory/Synology_SA_26_14
PHP2Shell 漏洞公告,跟近期的 PHP 漏洞 有关吗？

[nbweb]

已中招，黑群，现在已关机，还好只用来当监控，没放任何其它资料。现在准备格式硬盘了。

准备找别的软件来代替群晖了，不用了。

[hunono]

360 和 smzdm 的两篇相关文章大概率是 AI 写的.

[EyebrowsWhite]

@EyebrowsWhite 我认为 Reddit 的一楼评论说的很对，要么不要对公网开放除了 VPN 之外的端口，要么及时更新服务，普通人能做的也就这些了。

至于说最新版本也中招，这种 0day 真碰到谁也没办法。但是目前我没找到最新版本中招的消息来源，就这个 360 的文章来看，这个属于 1day ，距今已经一个多月了。

[wclebb]

@wclebb #45 我暂时没发现有中招的痕迹，也不知道如何查看被攻击。
但是幸亏因为这件事，我才发现日志，天天都有各种帐号和密码爆破我 NAS ，我寻思最近已经逐步转 Tailscale 和 Surge Ponte ，所以访问的问题不大。

[alfawei]

@nbweb 版本是什么？

[DarkFire]

通过启用自定义域+反向代理——防火墙，配置自定义域名，把默认的 5001 端口关闭公网访问，公网只允许域名访问。这样能避免大部分扫描攻击。

[thereone]

这个是上次吃瓜飞牛的时候写的，现在群晖吃瓜就复制粘贴一下。当然最优先的是 VPN 接入，其次才是 web 直接访问。

路由器把 IP 地址限制到你们城市或者省才能访问或者最大范围仅中国 IP 访问。挂上 WAF 把 IP 地址限制打开，用户认证打开，黑名单和白名单都打开 CC 和人机验证打开。搞到非常难访问的程度基本就没有问题了。

web 应用-->NGINX 反代(开启基本认证)--->WAF(IP 地址限制到你们省市，黑名单常用封禁国内爬虫恶意 IP ，CC 和人机验证打开，用户认证打开)--->出口路由器（限制访问为国内 IP 地址访问，开启国内爬虫和恶意 IP 封堵，公有云 IP 封堵）--->公网

你想用首先得是：国内正常 IP 非公有云 IP 非恶意 IP 非手动封堵 IP--->进入出口路由器--->过 WAF 的省内 IP 认证-->人机验证-->CC 防护-->用户认证-->攻击防护---->过 NGINX 反代基本认证--->再到 web 应用。

上了上面这套想要从外部攻破 首先得是国内的正常 IP 来攻击的，二是需要攻破 WAF 的各项防护，在攻破 NGINX 的基本认证防护，最后才是 web 应用的。

可以选择性的打开或者关闭某些防护，根据你的实际需求来做。
我这边把除了 NGINX 的基本防护关闭了，别的全部都打开了。现在没有任何问题包括外部扫描都没有了，除了国内两个省的 IP 地址可以访问别的地址都不能访问。