听说最近群晖中招了， V 友们知道是什么情况吗？非群晖 NAS 用户需要注意什么？

[CodeDAI]

360 的公告
https://www.360.cn/n/13055.html

[Autonomous]

不暴露任何端口，只通过 VPN 回家，不怕任何漏洞。

[klgd]

发生了啥？

[CodeDAI]

@Autonomous 但是有时候家里人要用，VPN 回家对他们来说就不太方便

[CodeDAI]

好像是中 L0CK3D 了

[shuang930225]

有群友中招勒索病毒了

[liuzimin]

我看了下 L 站上的那个帖，说是帖主在群晖上挂了 gitlab 并公开了，正巧最近 gitlab 有漏洞被曝出来，然后被一锅端。那这样的话，也不算 DSM 的问题吧。

[felixlong]

PHP 的漏洞引起的吗？ NAS 基本上都是使用的 PHP.

[doug]

由于交不起电费 我家的是每天固定开一小时 然后自己关机的 感觉风险不大

[liuzimin]

@felixlong #7 我问了下 AI ，说群晖的 DSM 核心是用 C/C++写的，网页界面是用 JavaScript/HTML/CSS 。

[mrzx]

@Autonomous 更新下认知吧，很多路由器上有后门。涉及各大品牌。很可笑的，很多路由器都有“运维调试接口”

尤其是很多 openwrt 的插件，底层代码投毒也不是第一次了。第三方魔改 openwrt 固件藏后门发生次数真的是太多了。

及时关注信息安全，及时更新才能避免损失。

[liuzimin]

@mrzx #10 市面上的爆款成品路由器也会有吗？那感觉有点束手无策啊。

[chennqqi]

@Autonomous VPN 漏洞又不是没有出过

[dowern]

刚看 已经中 L0CK3D 了

[goodryb]

貌似不是群晖自身的问题，其他服务被突破导致群晖上的文件给加密了

[ntdll]

已经中招，白群，最新版，网上资料所是 docker 或者 gitea 一类的漏洞导致的，但是这些我都没装。初步猜测可能是群晖自身存在某种 0day 导致。

索性只是浪费点时间，重要数据都有额外的备份，损失并不算大。

[CodeDAI]

@dowern 有开什么东西吗

[hallieastem]

境外 IP 入站全 ban,国内入站 IP fail2ban 或者其他任意诱捕功能应该挡掉 99.9%的恶意尝试了

[h3110w0r1d]

@liuzimin 只要支持远程管理路由器的，都有后门

[Ericality]

你倒是把背景说清楚啊 所有在用群晖的 v 友立刻检查自己的 nas 现在群晖被攻破了 暂时还不清楚具体路径 但是我的 nas 上面（ 7.1 ）出现了 lock3d 加密数据 还有勒索信 不过这个脚本很菜 菜到只加密了第一层文件 其他的地方只是留下了勒索信就没了 快照什么的也还在 要么是攻击者太菜写的逻辑不行 要么是我小文件太多了把脚本撑爆了 反正我这边基本没损失 建议问题解决前不要连接外网

[someonesnone]

我群晖只有备份数据才开机 :D

[xiwangly]

woc ，这得赶紧隔离公司的 NAS 公网访问 (:

[xyz3201]

@Ericality 你好，我用群晖的 Snapshot 直接找快照有 4 个点，但是从还原点进去看不到具体的备份，是说备份也被破坏了吗？ 今天看到消息准备断网关机发现凌晨刚中招

[ntdll]

虽然没啥用，但是分享一下，从部分其未加密的文件里，我看到了一些当时留下的系统日志：

10-28 凌晨 00:05–04:08：大量境外 IP 对 admin 的 WebUI 爆破，全部失败；（因为 admin 在我的设备上是禁用的）
14:46:46：46.8.78.122 又一次失败登录；
14:54:37：加密开始；（开始出现 LOCK3D 文件）

也就是初步推断，侵入与弱密码无关，与暴露 ssh 可能性也不大，更可能是 WebUI 的登入点存在某些 bug 。

各位可以考虑以后这类服务都需要通过 Zero Trust 后才允许访问。至于恢复的可能性并不太高了。

[bullfrog]

Tailscale, cloudflare tunnel

[anyliz]

@ntdll 更改默认端口了吗？

[shalingye]

感觉这波逮着 nas 小白薅啊，不构建自己的数字生态迟早要付出代价

[jtshs256]

360 的公告感觉也不对，目前有见到 7.4.1-u1 、7.2.1-u13 中招的案例，这些都是修了漏洞的版本。本来已经把仅暴露在 v6 的端口都关了，这下怕是 qc 也得关

[radiohide]

@ntdll 感觉是 php 的问题呀 前几天不是有 php 的漏洞爆出来 一个内存分配失败的后策略会被利用获取代码运行权限的漏洞，跟你这个过程有点像 群晖是 php 的吧

[nkidgm]

不是，你们都这么大胆，直接把群晖暴露到公网的嘛？我一般都是先套个 VPN 再打开群晖。

[Moatkon]

感觉群辉时不时就中招

[wxjback]

看了说明，9.18 就暴露的漏洞，群晖也早就发布了自动更新的修复，除非你关闭自动更新，应该都修复了吧。

[alfawei]

@jtshs256 1. 消息没有什么具体来源？ 没有啥信息内容。搞个惊悚的标题。
2. 最近群晖官方更新了 PHP 漏洞，其他厂商好像并没有发布什么消息，也应该和这个 PHP 漏洞无关。
3. Reddit 和群晖英文官方论坛没有这个反馈
4. Google 搜索 synology 0day 24 小时和 1 小时都没有什么有价值内容
5. 目前所有的信息都似乎是简中区域的内容

[mrzx]

@liuzimin 多呢，说太多会得罪国内大厂的人。V2EX 在各大大厂的牛马都有.

就说个国外的，

上个月 9 月，RrouteOS 爆出出一个严重的安全漏洞，CVE-2026-86060 CVE-2026-67279 CVE-2026-67276 CVE-2026-67277 等等
只要猜对管理员名称,并且你开启了 ssh 服务就能黑进来，拿到路由器最高管理员权限，很多人账户就是默认账户 admin,ipv4 地址才 40 多亿个，利用这个漏洞扫完一遍很快的，一堆公网跑了 RouteOS 的路由器被黑了。

[wclebb]

PHP 漏洞？

[StevenTong]

看了网上说的，最新系统也中招。

[Autonomous]

@mrzx
@chennqqi

哦，我用 UniFi UCG-Fiber

[emmo]

群晖技术拉的很。从这几年的软件更新就可以看出来了。爆出 0day 真的不意外。

[mrzx]

@Autonomous 哈哈，这次我不说了，你自己悟吧

[RogerSelf]

@ntdll #15

感谢分享，这个信息太关键了，请问说的最新版是 DSM 7.4.1-90080 Update 1 吗？

方便分享一下对外公布了哪些服务吗？

[emmo]

@wxjback 看 sloar 的发文。最新版系统也中招。