群晖DSM身份认证绕过漏洞已遭在野利用

奇安信CERT发布通告称，Synology DSM 存在身份认证绕过漏洞 CVE-2026-13639（CVSS 3.1 评分 9.8，高危），已被 C3RB3R / L0CK3D 勒索病毒用作初始入口，官方已修复。 该漏洞源于 DSM 生成会话 JWT 签名密钥时的缓冲区错位缺陷，导致临时令牌校验被绕过。奇安信称，利用无需凭据、无需用户交互，仅需能访问 DSM Web 管理端口（5000/5001 或自定义端口），且目标设备会话密钥由缺陷代码路径生成（默认情况）；2FA 仅能提高后续利用门槛，不能替代补丁。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。