群晖NAS又曝高危漏洞！安企神软件Plus版，帮你打造免疫屏障

运营三部-小殷 2026-11-14

2026年11月10日，群晖发布Synology-SA-26:19 安全公告。

一、这次曝光了哪些漏洞？

第一个漏洞：CVE-2026-76954

漏洞位置：DSM的Auth API，属于SQL 命令特殊字符未正确中和（CWE-89）。

评分：9.8

严重程度：Critical

后果有三：

读取任意文件：意味着配置与数据暴露；
写入任意文件：意味着可能植入后门或篡改文件；
发起拒绝服务攻击：意味着业务直接中断。

第二个漏洞：CVE-2026-85101

评分：8.6

严重程度：Important

问题：在 rsync 服务，攻击者可借助替代路径绕过认证，读取特定文件、写入任意文件，并实施有限度的拒绝服务。

无独有偶，往前推二十多天，10月22日，群晖还发布了 Synology-SA-26:14，代号 PHP2Shell，评级同为 Critical。两个 CVE（CVE-2026-109618、CVE-2026-109619）均评分 9.8，成因是 PHP 在内存耗尽（OOM）处理时未正确重置状态，导致释放后仍被引用，最终可实现远程代码执行。

二、为什么 NAS 总被盯上？

三个原因：

位置太关键：NAS 是集中存储，一台设备背后是成百上千个共享目录，攻破一次，收益远超攻破一台终端。
暴露面太宽：为了让外地同事访问，不少企业把 DSM 管理端口、WebDAV、rsync 直接映射到公网，管理面一旦可达，9.8 分的未认证漏洞就等于开着的门。
补丁节奏太慢：NAS 属于 “装好就忘” 的设备，常年无人巡检，公告发布当天能升级的企业是少数。

三、安企神软件 Plus 版

安企神软件2610版本针对群晖NAS场景做了一组功能增强，思路不是替代群晖的安全机制，而是在企业终端与NAS之间加一层可控的管理层。

新增功能

3.1 支持WebDAV挂载

WebDAV 让 NAS 可以像本地磁盘一样挂载到终端，不依赖特定厂商客户端，跨网段、跨网络环境都能用，对分支机构和外派人员来说，这解决了 “必须回到内网才能访问共享目录” 的老问题。

3.2 文件锁

多人同时编辑同一份文档，是共享目录最常见的破坏场景：A 改了三小时，B 后保存，A 的成果被整份覆盖。

文件锁在打开文件时即占锁，他人只能只读或排队，从机制上避免版本互覆。

3.3 NAS服务器支持配置域名

以前客户端配置填的是IP地址，服务器一换IP，全员改配置，IT部门疲于应付。

现在支持域名配置，IP变了也不影响使用，维护成本降下来，也减少了因配置错误导致的连接异常。

3.4 自动回传

以前从群晖取文件，常见操作是手动下载到本地、编辑、再上传。中间这段时间，文件在终端上处于“游离”状态。

现在双击直接打开，编辑保存后自动回传，本地临时文件的留存窗口被压缩，对于有数据防泄密要求的企业来说，少了一个容易被忽视的出口。

3.5 多平台支持

macOS和信创平台支持网络盘映射，不需要通过浏览器反复上传下载。

Android端也支持了群晖访问，但不含网络盘映射，既覆盖了移动办公的基本需求，又不把NAS的完整文件系统暴露在移动端。

其他功能列表

功能模块	针对痛点	功能简述
终端合规检测	设备状态不明就上网	检查杀毒、补丁、密码策略等基线，不合规先修复再放行
补丁管理	漏洞公告出了，终端几个月不升级	批量打补丁，无需逐台操作
文件备份	误删、误改、勒索加密后无法恢复	支持文档删除时备份、文档修改时备份、手动备份，可快速恢复
全盘加解密	终端有机密文件	对指定目录统一加密
外设端口管控	蓝牙、光驱、串口等隐蔽通道被忽视	按设备类型统一管控光驱、蓝牙、红外、串口、并口、便携设备
统计报表	汇报缺少数据支撑	自动生成终端安全、泄密风险、合规率报表，支持按部门、时间导出