群晖曝出 27 个 DSM 安全漏洞，最高危 9.8 分！与此前勒索攻击有关吗？
内容提要
群晖披露27个DSM漏洞，其中CVE-2026-76954评分9.8，属认证接口SQL注入，无需登录即可读写文件或发起DoS；另有rsync认证绕过漏洞。官方已发布补丁，更新至指定版本即可修复。目前无证据表明这些漏洞与C3RB3R勒索攻击直接相关，后者被认为利用2024年旧漏洞。DSM 6已停止支持，建议避免管理后台暴露公网并做好异地备份。
延伸解读
两批漏洞的时间线需要分清
文章明确区分了两批安全问题：C3RB3R勒索攻击利用的是2024年12月已修复的旧漏洞，而11月10日新披露的27个漏洞属于2026年新公告。群晖官方未确认新漏洞与勒索攻击有关，第三方提到的CVE-2026-13639和CVE-2026-13684也不在这27个之列。读者应避免把不同时间、不同公告的漏洞混为一谈，否则容易误判风险来源和修复优先级。
补丁已先行，更新前先核对版本号
群晖在公告中列出了DSM 7.4、7.3、7.2.2、7.2.1四个分支的最低修复版本，更新日期均为2026年10月12日。这意味着部分用户一个月前安装的更新可能已包含修复，无需为这批漏洞重复升级。但不同设备对应不同分支，用户应核对自身DSM版本号是否达到对应最低版本，而不是只看“已更新”状态。
DSM 6与QuickConnect用户的暴露面
DSM 6.2已于2024年10月1日结束安全支持，此次公告未列出DSM 6的受影响情况和补丁。若NAS型号无法升级到受支持版本，文章建议避免将管理后台直接暴露公网。对于QuickConnect，群晖尚未明确漏洞能否经其利用，但文章建议无法更新时可暂时关闭QuickConnect对DSM管理界面的访问，以收紧入口。
高危漏洞的利用条件值得注意
CVE-2026-76954评分9.8，位于认证接口，属于SQL注入，攻击无需事先获得账户权限，也无需用户配合，可能读取或写入任意文件并发起DoS。CVE-2026-85101评分8.6，影响rsync组件，可绕过认证读写特定文件。这两个漏洞的利用门槛较低，说明即使未发现已被勒索软件利用，及时打补丁和限制管理界面暴露仍有实际意义。
Q&A
群晖这次披露的27个DSM漏洞中，最严重的是哪个？有什么危害？
最严重的是CVE-2026-76954，CVSS评分9.8分，位于DSM的Auth API（认证接口），属于SQL注入漏洞。远程攻击者无需登录即可利用该漏洞读取NAS上的任意文件、写入任意文件，或发起拒绝服务攻击（DoS）。
这些新披露的漏洞和之前的C3RB3R勒索攻击有关系吗？
目前没有证据表明这27个新漏洞与C3RB3R勒索攻击存在直接关联。群晖此前强调勒索攻击利用的是2024年12月已修复的旧漏洞，但第三方分析（如360）发现攻击可能涉及另外两个漏洞（CVE-2026-13639和CVE-2026-13684），这两个漏洞属于更早的Synology-SA-26:13公告，并非此次新披露的27个漏洞。
我已经更新过DSM了，还需要为这次27个漏洞再次升级吗？
不需要，只要你的DSM版本已达到或超过官方公布的最低修复版本即可。最低修复版本包括：DSM 7.4-90080 Update 1、DSM 7.3-86009 Update 5、DSM 7.2.2-72806 Update 10、DSM 7.2.1-69057 Update 13（更新日期均为2026-10-12）。这些版本已包含漏洞修复。
为什么一个月前刚更新过DSM，现在又出现新漏洞？
因为安全补丁的发布时间与漏洞详情的公开时间并不一定相同。厂商通常会先发布修复补丁，再公开漏洞细节，以降低尚未更新设备的风险。所以即使你之前更新过，也可能对应的是更早的补丁，而这次公开的漏洞可能已在后续更新中修复。
DSM 6用户应该注意什么？还能获得安全更新吗？
DSM 6.2已于2024年10月1日结束安全支持，群晖此次公告未列出DSM 6的受影响情况，也未提供补丁。如果NAS型号无法升级到受支持的DSM版本，建议避免将管理后台直接暴露在公网，并采取其他安全措施。
使用QuickConnect会受这次漏洞影响吗？需要关闭吗？
群晖尚未明确说明这些漏洞是否可通过QuickConnect利用。如果你无法更新到最新版本，可以暂时关闭QuickConnect对DSM管理界面的访问权限，以降低风险。
