Categories
近期資安社群通報多起針對市場上其他 NAS 品牌設備的勒索病毒攻擊事件（如「L0CK3D」）。攻擊者主要鎖定設備上運行的容器服務（如 GitLab）以及底層開源組件的遠端程式碼執行（RCE）重大弱點，並透過系統排程（crond）植入後門加密檔案。
這類威脅凸顯出：當代儲存設備的安全挑戰已不僅限於系統本身，更延伸至第三方組件與應用生態。面對持續演變的攻擊手法，QNAP 持續檢視系統每一處相依組件的安全風險，落實嚴格的測試與修補機制，以具體的工程行動維護系統穩定與用戶資料安全。
借鏡近期威脅：攻擊面向第三方組件與容器轉移
分析近期 NAS 遭攻擊的技術路徑，可歸納出幾項關鍵特徵：
- 核心組件與供應鏈弱點為首要突破口：攻擊者常利用高評分（CVSS）的開源核心組件或第三方服務漏洞作為入侵跳板，直接繞過前端存取限制。
- 容器與多工應用的安全邊界模糊：用戶常於 NAS 上部屬各式 Docker 容器與自託管服務。若未將容器環境做好網路隔離，或未即時升級其內嵌的依賴套件，容器容易成為駭客侵入主機的破口。
- 排程植入後門以規避偵測：駭客在取得權限後，往往會將攻擊腳本寫入系統底層排程以維持持久性（Persistence），並挑選特定時段發動檔案加密。
針對這些風險，廠商不能僅防禦既有的系統核心，更必須將防護延伸至完整的軟體供應鏈與應用程式堆疊。
應變實例：QNAP 面對「PHP2Shell」重大弱點的嚴謹盤查與防護應變
以近期公布的 PHP 核心遠端程式碼執行重大風險「PHP2Shell」（CVE-2026-109618、CVE-2026-109619，CVSS v4.0 評分為 9.2）為例，該弱點在官方釋出修補前細節即遭外洩。
QNAP 產品資安事件應變小組（QNAP PSIRT）與研發團隊在取得情資後即啟動應變，完成跨產品線的盤查與驗證：
| 日期 | 版本 | 處置項目與進度說明 |
| 10 月 21 日 | – | PHP 官方釋出修正版本；QNAP 完成內部系統衝擊分析與防禦規劃。 |
| 10 月 22 日 | V1.0 | 發布安全公告 QSA-26-18，說明受影響產品與暫時因應措施；同步完成官網、商城與雲端服務的防護配置。 |
| 10 月 24 日 | V1.1 | 於 72 小時內完成 QTS、QuTS hero、QuTScloud 三大作業系統的程式碼修訂、編譯與回歸測試，並正式釋出修正韌體。 |
| 10 月 28 日 | V1.2 | 針對 Notes Station 3、QVR Surveillance 3 等受影響應用套件發布相應修補更新。 |
這項應變展現了 QNAP 在資安工程上的轉變：我們不再被動等待威脅擴大，而是在第一時間主動清查相依性、縮減驗證週期，並在最短時間內提供穩定可靠的防護更新。
QNAP 的弱點管理與防護實踐
為了從根本降低資安風險，QNAP 目前在軟體開發與維護生命週期中落實以下機制：
- 軟體物料清單（SBOM）盤查：全面清查系統內所有開源函式庫與模組相依性。一旦上游通報新漏洞，系統能在數小時內定位受影響的韌體版本與應用套件。
- 縮短通報與修復週期：與外部資安研究人員及獎勵計畫（Bug Bounty Program）保持合作，主動清查潛在邏輯缺陷，並以透明方式公布安全公告（Security Advisory）。
- 加強預設安全機制（Secure-by-Default）：持續強化系統背景服務與排程執行的權限劃分，落實最小權限原則，降低因單一服務被突破而導致整機受影響的機率。
QNAP 設立專屬 PSIRT 並獲授權為國際 CVE® 編號管理者（CNA），能即時掌握全球威脅情資。我們通過 ISO 27001 認證並對齊歐盟網路韌性法案（CRA）等國際標準，落實軟體物料清單（SBOM）管理，透過公開公告與 Bug Bounty 計畫持續以嚴謹規範守護您的資料安全。造訪 QNAP 信任中心以了解更多。
用戶安全設定檢核清單
資安防護需由系統廠商與管理者共同維持。針對近期的攻擊手法，QNAP 建議所有管理者完成以下安全檢核：
- 確認並安裝最新韌體與套件
- 至「控制台 > 系統 > 韌體更新」確認版本，或手動前往 QNAP 下載中心取得修補檔。
- 至「控制台 > 系統 > 系統狀態」核對完整版本號與建置日期（Build Date），勿僅依賴「即時更新」檢查狀態。
- 檢查 App Center，將 Notes Station 3 等應用程式更新至安全版本。
- 避免將管理介面暴露於外網
- 關閉路由器上的 DMZ 或非必要的 Port Forwarding（連接埠轉發），勿將預設的網頁管理埠直接暴露於網際網路。
- 遠端存取建議全面改採 QVPN（如 WireGuard、OpenVPN）或具備存取控制的虛擬專用通道。
- 定期更新與隔離容器應用
- Container Station 中的 Docker 映像檔（如自建的 GitLab、Web 服務）不會隨 NAS 系統韌體自動更新。管理員需定期手動拉取並替換為最新安全的映像檔版本。
- 落實離線與不可變備份
- RAID 提供的是硬碟損壞時的硬體容錯，無法防止勒索病毒加密。
- 請妥善啟用 QNAP 系統快照功能，並搭配不可竄改（Immutable）設定或 WORM 機制。
- 落實 3-2-1-1-0 備份策略，定期將重要資料同步至遠端站點、冷儲存或雲端儲存空間。
QNAP 持續追蹤各項漏洞通報與威脅情勢，即時提供系統維護支援。若在更新過程中遇到問題，或需評估設備當前設定，可透過 QNAP 技術支援中心 取得協助。資安研究人員亦可透過安全漏洞獎勵計畫提交相關通報。
常見問題
Q1：我的 NAS 會中 L0CK3D 勒索病毒嗎？該怎麼防範？
近期 Synology NAS 面臨的大規模 L0CK3D 勒索攻擊事件，主要是透過第三方容器服務或底層套件的漏洞入侵。要防範這類攻擊，最重要的是「避免 NAS 暴露在公網」。請關閉路由器上的 DMZ 或非必要的連接埠轉發（Port Forwarding），並改用 QVPN 進行遠端連線，同時務必將 NAS 韌體與所有套件更新至最新版本。
Q2：我的 QNAP NAS 有受到這次 PHP2Shell 漏洞影響嗎？
QNAP 已在漏洞發布後 72 小時內釋出 QTS、QuTS hero 等系統的修正版本，成功阻斷風險。請立即前往「控制台 > 系統 > 韌體更新」確認設備是否已更新至修正版本，以確保資料安全。
Q3：怎麼設定才能避免我的 NAS 一直被外部惡意攻擊？
除了保持韌體更新，建議您落實「預設安全」原則：停用預設的 admin 帳號、啟用高強度密碼與兩步驟驗證（2FA），並在「安全中心」設定 IP 封鎖規則（如 Fail2ban），將惡意登入拒之門外。
Q4：如果 NAS 真的不幸被勒索，裡面的資料還有救嗎？快照有用嗎？
資料能否復原，關鍵在於平時是否建立具備「防篡改」與「離線隔離」的備份機制。若未設定保護機制，快照也可能在管理員權限遭竊時被一併刪除。要確保資料百分之百能還原，建議落實兩大防護：1) 啟用 WORM 資料夾與不可竄改快照（Immutable Snapshot），在保護期限內，即使攻擊者取得最高權限也無法修改、加密或刪除任何檔案；2) 平時就要做到規律的「3-2-1-1-0」資料備份，有備無患。
本文之部分文字與影像素材係透過 AI 技術輔助生成，並經由作者檢視與審核，以確保內容品質。
