别信「全网 0day」：群晖 LOCK3D 今晚自查清单
群晖 LOCK3D/C3RB3R 波次自查：收公网、打补丁、不可变快照与离线备份。
最近两天（大约 10 月 28 日起），圈里又在刷群晖：硬盘风扇突然起飞、共享文件夹里多出 read-me3.txt，原来的照片、片库、工程文件后缀变成 .LOCK3D 或 .L0CK3D。有文章标题直接写「1day / 0day、最新 DSM 7.4.1、全网中招」。
先把情绪按住。 勒索波次是真的，但「DSM 本体已经确认 0day」目前没有群晖官方背书。对我们这种 Emby / 相册 / 文档全堆在 NAS 上的人，真正要命的往往不是标题里的「0day」三个字，而是三件更土的事：DSM 裸挂公网、补丁和套件没跟上、备份盘长期在线可写。
官方在修什么
注意：360 把一批样本入口指向 9 月就公开、且已出补丁的高危洞（典型 1day）；Solar 报告有受害机已升到 DSM 7.4.1-90080 Update 1，同时写明：最新版中招 ≠ 最新版一定有 0day，套件、凭据、暴露服务都还在查。
安全通告总入口（建议收藏，有更新会排在上面）：
-
Synology-SA-26:13 DSM：2026-09-18 · Critical · CVE-2026-13684 / CVE-2026-13639（CVSS 9.8）· 远程任意文件读写 / DoS。DSM 7.4 请至少升到 7.4-90075 或以上；还在 7.3 / 7.2.x 的对照通告表升到对应修复号。通告页：https://www.synology.cn/zh-cn/security/advisory/Synology_SA_26_13
-
Synology-SA-26:14 PHP2Shell：2026-10-22 · Critical · CVE-2026-109618 / CVE-2026-109619（CVSS 9.8）· 走 PHP 依赖套件的远程代码执行。优先更新 PHP、Calendar、Mail Station；还波及 Web Station、WordPress、phpMyAdmin、Joomla。PHP 7.3 已 EOL、官方明确不修——不用就卸。通告页：https://www.synology.com/zh-cn/security/advisory/Synology_SA_26_14
-
官方新闻说明：https://www.synology.com/en-global/company/news/article/php2shell
官方也写了：DSM 内置那份系统 PHP 不对外，风险极低；危险的是套件中心里你自己装的 PHP 生态。
官方「如何防止勒索软件攻击」教程（含中招后检查清单）：https://kb.synology.cn/zh-cn/DSM/tutorial/How_can_I_prevent_ransomeware_attacks_on_my_Synology_device
今晚还没中招：按这个顺序做
把下面当成 checklist，做完打勾即可。
- 先收公网，再谈别的：登录路由器，关掉所有指向 NAS 的端口映射，顺手关 UPnP。DSM 管理页、SMB、套件自带的 Web 界面，能不暴露就不暴露。要远程：VPN、WireGuard、受控内网穿透都行，别把 5000/5001 直接甩到公网碰运气。QuickConnect 不是「一定中招」的充分条件，但也别把它当成免死金牌。
- DSM + 套件一起打：控制面板 → 更新与还原，跟到当前最新。套件中心把 PHP、日历、Mail Station、Web Station、WordPress 等全部更新；半年不用的第三方套件直接卸掉。对照通告：SA-26:13、SA-26:14。
- 账号别留默认口：默认
admin能禁用就禁用；每个账号独立强密码；打开两步验证、自动封锁、Account Protection。日志中心偶尔翻一眼异常登录。 - 快照要开，而且要「不可变」：Snapshot Replication → 给照片、文档、片库这些共享开排程。关键一步：打开不可变快照，让保护期内的快照连管理员也删不掉——很多勒索会先清快照。说明：https://kb.synology.com/en-us/DSM/tutorial/what_is_an_immutable_snapshot
- 备份盘平时请离线：Hyper Backup 推外置盘、异地 NAS、或网盘版本库都可以，但记住：长期插在 NAS 上、对勒索进程可写的「备份」，经常一起被加密。 RAID1 / SHR 只防硬盘坏，不防文件被改。做完备份，真机试一次还原。
注意：长期在线可写的「备份」经常一起被加密；做完备份务必真机试还原，确认不是「任务显示成功、还原却是空的」。
已经看到 LOCK3D / L0CK3D 或 read-me3.txt？
现场写法有两种后缀（Solar 写 .LOCK3D，360 写 .L0CK3D），以你盘上实际文件名为准。处置顺序比「先搞清是哪个字母」更重要：
- 立刻拔网线（或防火墙切断 NAS），并停掉 Cloud Sync、往外推的 Hyper Backup——避免把密文同步出去，把云上还好的副本覆盖掉。
- 不要急着重装 DSM、初始化存储池、跑碎片整理、批量删除加密文件。 先留现场。
- 截图留证：控制面板里的 DSM 完整版本号、已装套件列表、
read-me3.txt原文、日志中心里的异常登录与文件活动。 - 恢复时选感染前且仍然完整的快照 / 离线备份。网上传的「28 号 23:30 之前」只是个别经历，不是官方统一死线——以你本机时间线为准。
- 不要付赎金。 暗网提供的「试解密一个小文件」，只能证明对方握有部分密钥能力，不保证交钱就能全盘回来。
厂商侧的隔离 → 取证 → 再恢复顺序，写在上面的勒索防护 KB 里。需要对照样本特征，可以看：
- 360 预警：https://www.360.cn/n/13055.html
- Solar 看雪帖：https://bbs.kanxue.com/thread-293361.htm
写在最后
自建 NAS 的安全感，从来不靠「我已经是最新版」四个字，而靠三件事叠在一起：
别把 DSM 裸挂公网 · 补丁和套件跟得上 · 快照 + 离线备份真能还原。
今晚把端口映射关了、通告里的版本对一下，比转发十篇「全网 0day」有用。后面若群晖或应急团队公布了更明确的入口，我们再补一版对照表。
家里有群晖的朋友，把这篇转给他——让他先关公网，再看热闹。
