群晖发布DSM严重安全更新，CVSS9.8分漏洞可致远程任意文件读写

群晖（Synology）近日发布一项关键安全更新，涉及其核心操作系统DiskStation Manager（DSM）中的多个高危漏洞。安全公告编号为Synology-SA-26:19，风险等级标注为“Critical”（严重），意味着攻击者可能在无需物理接触设备的前提下，远程获取对NAS存储内容的完全控制权。

此次更新主要修复两个核心漏洞。第一个漏洞的CVSS v3基础评分为9.8分（满分10分），属于极高危级别。根据群晖官方说明，该问题源于DSM系统中Auth API对SQL命令特殊元素的处理不当，攻击者可通过构造恶意请求，绕过身份验证机制，实现对任意文件的读取或写入操作，甚至触发拒绝服务（DoS），导致NAS服务中断。对于将家庭照片、工作文档、数据库备份等敏感数据存放于NAS中的用户而言，该漏洞一旦被利用，后果极为严重。

第二个漏洞评分为8.6分，同样属于高危范畴，问题出在rsync服务模块中对替代路径或通道的认证校验缺失。攻击者可借此绕过正常访问控制，执行未授权的文件同步操作，进而读写目标目录下的任意内容，或通过大量无效同步请求耗尽系统资源，造成服务瘫痪。

值得注意的是，此次安全更新并非首次针对DSM系统的紧急修复。就在上个月，群晖曾就2024年一份安全公告关联的勒索软件攻击事件向用户发出警示，表明其系统近期面临持续的安全挑战。而本次SA-26:19公告明确标注为“已解决”，即修复补丁已正式发布并推送，但自动更新机制并非100%可靠，尤其在企业环境或老旧设备上，仍需用户主动核查。

群晖列出了四个主流DSM版本分支对应的最低修复版本号，要求用户必须达到或超过以下构建号才算完成修复：

DSM 7.4 → 7.4.1-90080-1 或以上
DSM 7.3 → 7.3.2-86009-5 或以上
DSM 7.2.2 → 7.2.2-72806-10 或以上
DSM 7.2.1 → 7.2.1-69057-13 或以上

需要强调的是，版本号不能仅看主版本（如7.2.2），后续的构建号（build number）和更新编号（patch number）才是判断是否修复的关键。例如，7.2.2-72805-9虽属同一主版本，但因构建号不足，仍存在风险。

检查与更新流程相对清晰：用户登录DSM界面后，进入“控制面板 > 更新和还原 > DSM更新”，即可查看当前完整版本号及可用更新。若未收到自动推送，可前往群晖官网下载中心，根据设备型号与现有系统版本匹配对应更新包，手动安装。整个过程通常需重启设备，因此建议在非工作高峰时段操作，并提前确认关键业务服务（如备份任务、共享文件夹访问）的中断影响。

更新完成后，务必再次核对完整版本号，并验证核心功能是否正常运行——尤其是文件共享、Snapshot副本、Hyper Backup等依赖底层权限的服务。若遇到更新路径不明确、安装失败或版本识别异常等情况，应联系群晖技术支持获取协助。

此次事件也折射出家用与中小企业NAS设备在安全运维上的普遍薄弱环节。不同于云服务厂商具备自动化热补丁与纵深防御体系，本地NAS设备高度依赖用户自主维护。而群晖作为全球市场份额领先的NAS品牌，其系统复杂度与功能集成度日益提升（如支持Docker、Virtual Machine Manager、Active Directory集成等），客观上扩大了攻击面。据第三方安全研究机构统计，2025年以来针对NAS设备的远程利用尝试同比增长超60%，其中多数集中于Web管理接口与后台服务组件。

从技术角度看，本次漏洞本质是典型的身份认证与输入验证失效问题。Auth API作为DSM核心鉴权模块，本应严格过滤所有外部输入，却因对特殊字符（如单引号、分号）的转义处理疏漏，导致SQL语句被拼接注入；而rsync模块则因未强制校验通道来源合法性，使攻击者得以伪造合法会话标识。这类问题在开源项目中亦屡见不鲜，但商业闭源系统因缺乏外部审计，往往更难被早期发现。

值得留意的是，部分用户出于成本考虑使用非官方渠道部署的“黑群晖”（即在通用x86硬件上运行未经授权的DSM镜像），此类环境无法接收官方安全更新，且引导程序常基于旧版内核，存在更大未知风险。尽管社区维护的Xpenology等项目会尝试同步补丁，但时效性与完整性远不及原厂支持。对于存放重要数据的场景，强烈建议采用正版硬件+官方系统组合，以保障持续安全更新能力。

目前，群晖未提供任何临时缓解措施（如禁用特定服务或配置防火墙规则），这意味着唯一有效防护手段就是及时完成系统升级。考虑到NAS常作为家庭数字资产的“最后一道防线”，此次更新不应被忽视。用户宜在本周内完成自查与升级，避免成为下一轮针对性攻击的潜在目标。