Synology NAS 漏洞評 9.8 分免登入可讀寫檔案

用 Synology NAS 存放檔案的家庭和公司要盡快更新：一個評 9.8 分的漏洞，讓黑客毋須登入就能讀寫機內檔案。Synology 在 2026 年 11 月 10 日發出安全公告，指 DSM 系統登入驗證介面有 SQL 注入漏洞，遠端攻擊者可讀寫任意檔案及令系統癱瘓；另一個 rsync 漏洞評 8.6 分。DSM 7.4 至 7.2.1 都受影響，官方表示沒有暫時應對方法，只能更新。據 SecurityOnline 報道，暫未有確認的實際攻擊。惟 Synology 10 月 29 日曾警告，有攻擊者利用舊漏洞入侵未更新的 NAS。

Moby Dick2026年11月11日 17:49 HKT閱讀 2 分鐘

Synology 公布 9.8 分漏洞，毋須登入即可讀寫檔案

Synology 在 2026 年 11 月 10 日發出安全公告 Synology-SA-26:19，把 NAS（網絡儲存裝置，家庭和公司用來集中存放檔案的小型伺服器）作業系統 DSM 的兩個漏洞評為「嚴重」。其中 CVE-2026-76954 的 CVSS 評分（漏洞嚴重程度評分，滿分 10 分）達 9.8 分，屬 SQL 注入漏洞，即攻擊者在輸入的資料中夾帶資料庫指令，令系統照樣執行。漏洞位於 DSM 處理登入驗證的 Auth API，公告指遠端攻擊者可藉此讀取或寫入任意檔案，並令系統無法提供服務。

Synology 安全公告 SA-26:19 摘要，列明 CVE-2026-76954 可讓遠端攻擊者讀寫任意檔案 — Synology 在 2026 年 11 月 10 日發出的安全公告 SA-26:19 摘要

兩個漏洞都不需要帳戶密碼

公告列出的評分向量顯示，兩個漏洞都可經網絡發動，攻擊者不需要任何帳戶權限，也不需要用戶點擊任何東西。

漏洞	位置	CVSS 評分	攻擊者可以做甚麼
CVE-2026-76954	登入驗證 Auth API	9.8	讀寫任意檔案，令系統癱瘓
CVE-2026-85101	rsync（同步及備份檔案的工具）	8.6	讀取特定檔案，寫入任意檔案，令系統局部癱瘓

Synology 表示兩個漏洞由越南 Viettel Cyber Security 研究實驗室的 Nguyễn Bá Nam Dũng、Hà Thế Long，以及研究員 Warisse Valentin 發現。據安全網站 SecurityOnline 報道，Viettel 把 CVE-2026-76954 列為毋須登入、毋須用戶操作即可遠端執行程式碼的漏洞；報道亦指暫未有確認的實際攻擊，也未見公開的攻擊程式。

受影響版本與修補版本

公告「暫時應對方法」一欄寫着「無」，用戶只能更新系統。

DSM 版本	須更新至
DSM 7.4	7.4.1-90080-1 或以上
DSM 7.3	7.3.2-86009-5 或以上
DSM 7.2.2	7.2.2-72806-10 或以上
DSM 7.2.1	7.2.1-69057-13 或以上

同日另一份公告修補 25 個漏洞

據 SecurityOnline 及意大利科技網站 TurboLab 報道，Synology 同日另發公告 SA-26:18，修補 DSM 7.4 及 7.3 的另外 25 個漏洞，兩份公告合共 27 個，其中 1 個屬嚴重、9 個屬高危、17 個屬中等。高危漏洞包括單一登入、分享功能及一次性密碼驗證的繞過問題。SecurityOnline 引述指全球有逾 1,000 萬部 Synology NAS 在運作。

Synology 在 2026 年 10 月 29 日曾警告，有攻擊者利用一個 2024 年 12 月已修補的舊漏洞（CVE-2024-10441），入侵沒有更新的 NAS。即使新漏洞暫未被利用，沒有更新的機器仍可能成為勒索軟件的目標。

來源

Synology-SA-26:19 DSM（原始文件）
Synology Patches 27 Flaws in DiskStation Manager Including Critical Pre-Auth SQL Injection（SecurityOnline）
NAS Synology: falla critica (9.8) sfruttabile senza password, più altre 26 vulnerabilità（TurboLab）

台股盤中急跌 9% 沽空上限削九成

台股盤中一度急跌 9% 跌入熊市，台灣同日宣布由 11 月 9 日起把沽空上限削減九成。據彭博報道，金管會把每隻股票盤中借券賣出的上限，由 30 日平均每日成交股數的 30% 降至 3%，沽空最低保證金比率由 90% 提高至 130%。財政部亦表示，5,000 億新台幣（約 150 億美元）的國家金融安定基金會視乎市況入市。據中央社報道，加權指數 11 月 6 日收市跌 4.51%，報 39,701.64 點。佔台股逾四成市值的台積電盤中一度跌停，外資單日淨賣出 911.9 億新台幣。

Zyxel 交換器修補了照被入侵

用 Zyxel 網絡交換器的公司，就算 6 月已裝修補，仍然擋不住今次入侵了 996 部設備的攻擊。據 GreyNoise 觀察，一個疑似講中文的黑客組織由 8 月 17 日左右起，入侵了 48 個國家的 GS1900 交換器，偷走設定檔、經雜湊處理的最高權限密碼及網絡資料。外界原以為黑客用的是 6 月已修補的漏洞，但 Binarly 發現攻擊程式在已修補的版本上照樣有效，真正利用的是另一個未知漏洞。Zyxel 在 10 月 22 日推出新韌體，用戶要再更新一次。Binarly 更相信，這個攻擊程式是由大型語言模型寫成。