群晖官方发布标记为 Critical（严重）等级的安全公告，本次漏洞属于无前置认证、可远程利用类型，CVSS 评分最高达到 9.8，一旦 NAS 暴露在公网，黑客不用登录账号就能发起攻击，实现任意代码执行、读写服务器文件、关停服务，中招之后会出现数据泄露、文件被加密勒索的情况，覆盖主流 DSM 系统以及 Calendar、Hyper Backup、Mail Station、PHP 套件，家用、工作室、小企业的群晖 NAS 全都在风险范围内，优先升级系统本体，再逐个更新受影响套件，就算平时没有把 NAS 直接公网映射，也建议尽快打上补丁，避免内网里被入侵横向渗透，升级前做好备份，防止更新过程出现意外。这类严重级漏洞的特点是利用门槛很低，网上很快会出现可用攻击脚本；之前就已经出现黑客批量扫描暴露的群晖设备、植入勒索程序的案例，漏洞一旦公开，攻击量会快速上涨，不能拖到中招之后再补救。
受影响版本与修复目标
- DSM 7.4：升级至 7.4.1-90080-1 及更高版本
- DSM 7.3：升级至 7.3.2-86009-5 及更高版本
- DSM 7.2：升级至 7.2.2-72806-10、7.2.1-69057-13
- PHP 系列套件：PHP7.4、8.0、8.1、8.2、8.3、8.4 全部需要升级；PHP7.3 已经停止维护，没有补丁，建议直接卸载
- 应用套件：Synology Calendar、Hyper Backup、Mail Station、MailPlus、Drive Server、Contacts 等同步更新到公告指定版本
安全升级实操步骤
- 先做独立备份，把重要文件备份到另一块硬盘或者异地存储，不要只靠本机 RAID；RAID 防硬盘损坏，不防勒索病毒。
- 临时检查端口映射，没有必要的公网端口、QuickConnect、DDNS 可以先关掉，减少攻击面。
- 登录 DSM 控制面板，打开更新和还原，先执行 DSM 系统主程序更新，等待系统自动重启。
- 进入套件中心，筛选全部已安装套件，把 Calendar、Mail、Hyper Backup、PHP 相关套件逐个升级。
- 更新完成之后，核对版本号和群晖安全公告要求，确认没有遗漏。
- 开启自动安全更新，同时开启账号二次验证，弱密码全部更换。
配套防护清单（升级之后继续做）
✅ 关闭不必要公网端口，尽量用 VPN 访问 NAS，不直接把 5000/5001 暴露外网
✅ 管理员账号启用 2FA 双重验证，普通用户不要随便给管理员权限
✅ 定期检查套件，卸载长期不用、已经停止维护的老旧套件
✅ 开启安全顾问，定期扫描账号、权限、共享文件夹风险
✅ 开启入侵防护，限制异地、高频失败登录 IP
风险等级对比表
| 等级 | 利用难度 | 危害表现 | 处理优先级 |
|---|---|---|---|
| Critical（严重） | 低，未认证远程利用 | 远程执行代码、勒索、全盘读写 | 最高，立刻升级 |
| Important（重要） | 中等，大多需要登录 | 越权读写、拒绝服务 | 24 小时内完成更新 |
| Moderate（中等） | 较高，需要特定条件 | 信息泄露、有限权限操作 | 常规维护窗口更新 |
【常见问题】
问题 1：群晖 NAS 这次严重级安全更新，如果我只用内网、没有公网映射，还需要升级吗？
回答 1：群晖 NAS 本次严重级安全更新，就算设备只在内网、没有公网映射，依然建议升级；如果内网有其他设备被攻陷，黑客可以在内网横向扫描攻击这台群晖 NAS。
问题 2：群晖 NAS 严重级安全更新，升级之后会不会丢失硬盘里的数据？
回答 2：正常执行群晖 NAS 严重级安全更新，不会删除硬盘存储数据；但系统升级存在极小概率意外，官方和安全人员都建议升级前单独备份核心资料。
问题 3：群晖 NAS 严重级安全更新，PHP7.3 为什么没有修复包？
回答 3：群晖 NAS 本次严重级安全更新里，PHP7.3 已经进入停止支持生命周期，厂商不再提供安全补丁，最稳妥的做法是卸载 PHP7.3，换成更高版本的 PHP。
问题 4：群晖 NAS 打完这次严重级安全更新，还有哪些基础防护要搭配？
回答 4：完成群晖 NAS 严重级安全更新之后，建议关掉无用公网端口、管理员账号开启二次验证、更换弱密码、开启入侵拦截，减少后续漏洞被攻击的概率。
【参考资料】
[2026-11-13]（Synology-SA-26:19 群晖 DSM 严重安全公告）群晖科技官方安全中心
[2026-11-10]（Synology-SA-26:18 DSM 安全更新公告）群晖科技
[2026-10-31]（Synology-SA-26:14 PHP2Shell 严重漏洞公告）群晖科技
[2026-11-12]（群晖发布严重安全补丁，公网 NAS 风险极高）快科技
[2026-11-11]（群晖 Critical 漏洞预警，远程无认证 RCE）安全客
【免责声明】
以上内容基于群晖官方安全公告、漏洞预警媒体公开资料整理；群晖 NAS 严重级安全更新对应的修复版本、受影响套件清单，以群晖官网最新安全通告为准；不同机型、不同 DSM 分支可用版本不一样，部分老旧停产机型可能不再收到补丁；升级操作请在充分备份后执行，本文内容仅作为安全提醒，不构成操作担保。