查核日期：2026-10-30。以下為一般使用者的防護與應變建議，不是對你家 NAS 的遠端診斷。
照片、作品、合約、備份，全塞進 NAS，心裡總算踏實一點。結果有一天檔名多了「.L0CK3D」，資料夾還附一張「請付款」小紙條。這不是升級 VIP，是有人把你的保險箱換了鎖。
先別慌著重灌，也先別把群組轉傳當成操作手冊。這次有兩份安全公告，補錯地方，可能會以為門鎖好了，窗戶卻還開著。
先把三件事說清楚
勒索攻擊和 PHP2Shell 都要處理，但不能畫上等號。
360 於 2026-10-29 公開的樣本分析，將其調查的 C3RB3R／Cerber 案例入侵途徑歸於 CVE-2026-13639、CVE-2026-13684。這兩項對應 Synology 2026-09-18 的 SA-26:13 DSM 公告。這是該研究所分析案例的結論，不代表每一台受害 NAS 都走同一條路。[1][2]
SA-26:14 則是另一組 PHP2Shell 漏洞。 官方 10 月 22 日發布公告，列出 PHP、Mail Station 與 Calendar 等套件修補資訊。Synology 10 月 29 日更新的說明也指出，部分舊 DSM 分支已提供 PHP 安全更新；MailStation 仍需手動更新。不能只更新 PHP 就當 DSM 那條攻擊路徑已修好。[3][4]
還有幾個轉傳內容需要修正：
– 「.L0CK3D」中間是數字 0；「read-me3.txt」是檔名，不要加上 http:// 當網址開啟。信中的陌生連結也不要隨意點。
– 360 分析的樣本使用 ChaCha8＋RSA-2048，不是 RSA-4096＋AES。[1]
– GitLab 容器不是這份分析已證實的唯一入口；陌生 crond／排程也只是需調查的跡象，可能是管理或套件工作，不能看到就亂刪。
– 我未取得能證明「所有這類受害檔案目前一律無公開解密器」的可靠依據。副檔名不足以確認變種或可否救援，應交專業人員辨識，再核對 No More Ransom 等可信資源。[5]
1 哪些人需要優先檢查？
A DSM 沒補到修正版，而且服務能被外部連到
家中或公司的管理介面、服務經由路由器轉發、UPnP、反向代理等方式對外可達，都要盤點。不是只有「我記得有開埠」才算；請看實際規則。
SA-26:13 官方列出的最低修正版如下。這是該公告的修補門檻，不是今日最新版，也不是叫你跨分支硬升。 依機型支援與官方更新路徑安裝適用安全版本。[2]
| DSM 分支 | SA-26:13 修補門檻 |
| 7.4 | 7.4-90075 或更新 |
| 7.3 | 7.3.2-86009-4 或更新 |
| 7.2.2 | 7.2.2-72806-9 或更新 |
| 7.2.1 | 7.2.1-69057-12 或更新 |
若分支未列在這張表，不能自行推論安全，請向官方查機型支援與修補狀態。
B 安裝了受影響 PHP 或相依套件的人
官方另列出 Web Station、WordPress、phpMyAdmin 等 PHP 相依套件的影響範圍；不是所有 Synology 使用者、所有套件都中招。以實際安裝版本、相依關係與對外可達性核對。[3][4]
SA-26:14 的套件修補門檻：[3]
| 套件 | 修補門檻或處置 |
| Calendar | 3.0.4-21435 或更新 |
| Mail Station | 30000002.3.19-20333 或更新 |
| PHP 7.3 | 官方公告不提供修補，需評估停用／遷移 |
| PHP 7.4 | 7.4.33-0131 或更新 |
| PHP 8.0 | 8.0.30-0122 或更新 |
| PHP 8.1 | 8.1.34-0120 或更新 |
| PHP 8.2 | 8.2.35-0171 或更新 |
| PHP 8.3 | 8.3.36-0051 或更新 |
| PHP 8.4 | 8.4.27-0051 或更新 |
只更新你實際安裝且需要的分支，不要為了防毒反而多裝七套 PHP。 DSM 更新在系統更新處理；套件更新在套件中心處理，是兩張清單。
C 沒直接對外，但電腦能寫入 NAS 的人
這是一般勒索風險：同網段電腦或有寫入權限的帳號遭入侵，也可能傷到共享資料。沒有開外網，不等於不需要權限、端點與備份防護。[6]
你手上若有數 TB 的攝影原檔、作品或程式碼，NAS 很重要；但 RAID 主要處理磁碟故障，不能代替可隔離、可還原的備份。
2 尚未發現異常，今天怎麼防？
先分流：只要已出現大量檔案改名、勒索信或持續不明寫入，就跳到下一節，不要在可疑原機上先忙更新。
1. 先收起不必要的外網入口。 檢查路由器轉發、UPnP、反向代理與遠端服務，暫停不必要的暴露；容器也要查實際發布埠與掛載權限，不是看到 Container Manager 就全判有罪。擔心無法掌握暴露面時，可先隔離網路請管理者協助。
2. 更新要走乾淨、受控的路。 完全拔網路線後，當然不能同時期待套件中心直接下載。由管理者在可信電腦取得官方適用更新，依官方程序手動安裝，或在限制連線的維護環境更新；不要為了下載又把管理介面開回公網。
3. DSM、套件、容器分別盤點。 記錄現在版本及更新後版本，核對兩份公告；容器應用則查該產品官方更新，不把 Synology 的 PHP 修補當作容器內所有軟體已修好。
4. 帳號少權限、開啟多因素驗證。 日常不要拿管理者帳號當萬用鑰匙；移除閒置帳號，限制共享寫入。多因素驗證能保護登入，但不是漏洞免死金牌。
5. 留一份攻擊者碰不到的備份。 採三份資料、兩種媒介、一份異地的 3-2-1 思路，並確保至少一份離線或具有適用的不可變保護；功能支援須依機型、檔案系統及設定確認。[7]
6. 真的還原一次。 抽一個照片資料夾、幾份文件與一個專案，還原到隔離位置，檢查能否打開。備份工作顯示綠燈，是開始，不是畢業。
3 已出現 .L0CK3D 或勒索信，後續怎麼辦？
先止血，再保全，最後才恢復。不要把順序倒過來。
第一時間：隔離 NAS，也查連進來的電腦
拔除所有 NAS 網路連線或由管理者隔離交換器埠，停止可疑裝置繼續存取；只封外網，仍可能留下區網寫入。把備份從受影響系統隔離，暫停會把毀損同步過去的工作。[5][6]
斷網不代表 NAS 裡已運作的加密程序會自動停止。 若仍在持續加密，或無法有效隔離，立即請事件應變人員評估停止程序或關機；關機會失去記憶體證據，持續開機也可能繼續損失資料。不要把「永不關機」或「一定拔電源」當通用口訣。
接著：保留證據，不先清乾淨
不要先刪勒索信、批次改副檔名、格式化、重灌或執行儲存空間清理。由技術人員在安全條件下保留：
– 勒索信原檔、少量加密樣本與可能對應的原檔。
– 發現時間與時區、受影響共享資料夾、版本與異常畫面。
– DSM／登入／檔案存取紀錄，以及原本已啟用的 SSH、容器、路由器與防火牆日誌。
– 可疑排程與程序的資訊；先記錄，不直接刪除或執行。
這是本文的應變整理清單，不是官方已證實每台 NAS 都會出現的入侵指標。沒有的日誌不要為了補證據，在可疑機器上臨時開服務亂試。需要保全原機或製作映像時，交給具備能力的人員。
找支援與安全恢復
從乾淨裝置聯絡 Synology 支援、公司 IT／資安及適當報案管道。企業還需評估是否涉及資料外洩、對外通知與相關義務，不能因為只看到加密就斷言沒有外洩。
在乾淨裝置更換可能受影響的帳密、撤銷可疑工作階段與金鑰。不要在疑似被控制的 NAS 上登入其他重要帳號。
保全與調查完成後，由技術人員重建可信、已修補的環境；確認備份時間早於入侵且沒有惡意程式，再分批還原、測試、監控後開放使用。[6]
一般建議是不要付贖金，付款不保證取回資料。也不要下載來路不明的「一鍵解密器」，或把私人照片、合約上傳陌生救援網站。[5][8]
給忙人的一句話
還沒異常：收入口、補兩張清單、驗證備份。
已經異常：隔離、保全、找支援，再談重建還原。
NAS 可以是資料的家，但別讓它同時當「公網開放參觀的樣品屋」。
查證來源
[1] 360，2026-10-29，Cerber 勒索攻擊分析：https://news.safe.360.cn/n/13055.html
[2] Synology SA-26:13，2026-09-18：https://www.synology.com/en-global/security/advisory/Synology_SA_26_13
[3] Synology SA-26:14（2026-10-22發布；查核2026-10-30；搜尋索引與頁面更新時間顯示不一致，請以官方當下內容為準）：https://www.synology.com/en-global/security/advisory/Synology_SA_26_14
[4] Synology PHP2Shell 官方說明（內容註明2026-10-29更新）：https://www.synology.com/en-global/company/news/article/php2shell/Synology%20extends%20PHP2Shell%20security%20updates%20to%20end-of-life%20DSM%20versions
[5] No More Ransom 使用者建議：https://www.nomoreransom.org/en/prevention-advice-for-users.html
[6] 澳洲網路安全中心 勒索事件處置：https://www.cyber.gov.au/guidance/steps-to-take-following-a-ransomware-attack
[7] Synology 勒索防護與備份：https://www.synology.com/en-us/dsm/solution/ransomware
[8] FBI 勒索說明：https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/ransomware