群晖发布新NAS安全公告：黑客无需验证身份即可读写任意文件 存在勒索加密风险
内容提要
群晖发布SA-26:19安全公告，披露DSM两个高危漏洞：CVE-2026-76954为身份验证API中的SQL注入，可免验证远程读写任意文件，存在勒索加密风险；CVE-2026-85101为rsync组件验证绕过，可读写特定文件并造成有限DoS。修复已于10月12日随DSM更新发布，涉及7.4、7.3、7.2.2、7.2.1等分支。无法升级者应确保NAS仅限内网使用，勿暴露公网。
延伸解读
漏洞危害与攻击面
CVE-2026-76954 是 DSM 身份验证 API 中的 SQL 注入漏洞，攻击者无需验证身份即可远程读写任意文件，存在勒索加密风险；CVE-2026-85101 是 rsync 组件的验证绕过漏洞，可读写特定文件并造成有限 DoS。对暴露在公网的 NAS 危害极高，随着时间推移，可能有更多黑客利用自动化脚本全网扫描未更新设备。
修复版本与升级注意
修复程序已于 10 月 12 日随 DSM 更新发布，涉及 7.4、7.3、7.2.2、7.2.1 分支，各分支有具体最低版本要求。部分设备可能因地区或系统状态未显示更新通知，用户可根据设备型号从群晖下载中心获取更新手动安装。无法升级者应确保 NAS 仅限内网使用，勿通过 DDNS 或 QC 暴露到公网。
与既往勒索攻击的区别
文章特别指出，此次漏洞与此前部分用户遇到的勒索攻击不同，之前黑客使用的是 2024 年 9 月的漏洞。这意味着当前披露的是新修复的高危漏洞，而非旧攻击的重复；用户不应因之前已处置过勒索事件而忽视本次更新，需按公告要求检查并升级 DSM 版本。
Q&A
群晖这次安全公告披露了哪些漏洞？编号是什么？
群晖 SA-26:19 安全公告披露了两个高危漏洞：CVE-2026-76954（DSM 身份验证 API 中的 SQL 注入漏洞）和 CVE-2026-85101（rsync 组件中的身份验证绕过漏洞）。
CVE-2026-76954 漏洞具体有什么危害？
该漏洞位于 DSM 身份验证 API 中，属于 SQL 注入漏洞。攻击者无需验证身份即可远程读写任意文件，因此存在勒索加密风险。
CVE-2026-85101 漏洞会影响哪些功能？
该漏洞影响 DSM 附带的 rsync 同步组件，属于身份验证绕过漏洞。攻击者可利用它读写特定文件并造成有限的拒绝服务（DoS）。
哪些 DSM 版本需要更新来修复这些漏洞？
需更新至以下版本或更高：DSM 7.4.x 分支需 7.4.1-90080 Update 1；7.3.x 分支需 7.3.2-86009 Update 5；7.2.2 分支需 7.2.2-72806 Update 10；7.2.1 分支需 7.2.1-69057 Update 13。
如果我的 NAS 无法升级到最新 DSM 版本，应该采取什么安全措施？
应确保 NAS 仅在内网使用，不要使用 DDNS 或 QuickConnect 将其暴露到公网，避免相关接口被外部访问。
这次漏洞和之前的群晖 NAS 勒索攻击是同一个原因吗？
不是。此次漏洞与之前部分用户遇到的勒索攻击不同，之前的攻击利用的是 2024 年 9 月的漏洞。
