2026 年 1 月底，飞牛 fnOS 曝出高危路径穿越漏洞，攻击者无需认证即可读取 NAS 任意文件，甚至通过漏洞链获取 root 权限，波及约 30 万台公网设备。官方紧急推送 1.1.15 至 1.1.19 多个修复版本，但披露方式引发争议。本文基于最新漏洞细节，提供从立即升级、查杀木马到关闭公网暴露、配置防火墙和 2FA 的完整修复步骤，并给出长期安全建议，帮助飞牛用户彻底堵住风险，保护数据安全。
2026 年 1 月底，飞牛 fnOS 曝出高危路径穿越漏洞，攻击者无需认证即可读取 NAS 任意文件，甚至通过漏洞链获取 root 权限，波及约 30 万台公网设备。官方紧急推送 1.1.15 至 1.1.19 多个修复版本，但披露方式引发争议。本文基于最新漏洞细节，提供从立即升级、查杀木马到关闭公网暴露、配置防火墙和 2FA 的完整修复步骤，并给出长期安全建议，帮助飞牛用户彻底堵住风险，保护数据安全。
这次漏洞不是小打小闹。根据 V2EX 等社区用户反馈和后续技术分析，漏洞本质是一个路径穿越问题，攻击者通过构造特殊 URL，能绕过认证直接访问系统任意文件，包括 /etc/shadow、数据库配置、用户存储的私密文档。更严重的是，安全研究者 Geekertao 在 B 站发布的视频中演示了完整漏洞链：攻击者先利用路径穿越获取敏感信息，再结合 WebSocket 命令注入（影响 1.1.15-1493 及更早版本），最终实现无需认证的 root 权限接管。这意味着你的比特币钱包文件、客户合同、家庭照片，只要 NAS 暴露在公网，就可能被陌生人随意浏览甚至拷贝。
最让人揪心的是影响范围。据知乎专栏文章和多个安全社区统计，当时约有 27 万到 30 万台飞牛 NAS 设备暴露在公网，大量用户是在不知情的情况下中招的。有 B 站 UP 主自曝两台飞牛 NAS 全部被入侵，文件被加密勒索；也有用户发现 NAS 里多了陌生账号、CPU 占用异常飙升。更麻烦的是，攻击者已经释放了针对 fnOS 的定向木马变种，即使你升级了系统，如果木马已经驻留，仍可能被反复利用。所以修复不能只靠升级，必须做一次彻底排查。
飞牛官方的反应速度其实不算慢。从 1 月 31 日首次推送 1.1.15 版本阻断异常行为，到 2 月 1 日发布 1.1.18 版本封堵漏洞并集成查杀工具，再到 2 月 8 日左右推送 1.1.19 版本进一步加固，技术团队在一周内完成了漏洞分析、逆向工程和补丁发布。但争议在于信息披露方式——官方最初用“异常访问风险”这种模糊表述，没有第一时间发布安全公告，不少用户直到社区炸锅才知道自己裸奔了半个月。知乎上有用户尖锐批评这是“捂盖子”，飞牛官方解释称漏洞细节需在修复后披露，以免被恶意利用，这个逻辑本身合理，但缺乏透明沟通确实消耗了用户信任。
不管怎样，现在最要紧的是动手修复。第一步，立即升级到最新版本。打开飞牛 NAS 的“系统设置 - 系统更新”，检查并安装 1.1.19 版本（如果还是旧版，至少先升到 1.1.18，因为该版本已封堵漏洞并集成了木马查杀功能）。官方已通过短信、应用内推送等方式通知，但如果你关闭了自动检查，务必手动确认。升级后建议重启系统，确保所有服务加载新代码。
第二步，查杀木马。升级后，进入“系统设置 - 安全中心”（或使用官方提供的查杀脚本），全盘扫描可疑文件。B 站“菜鸡的老黎”发布了官方脚本病毒查杀教程，你可以参照操作。重点关注 /tmp、/var/tmp 等临时目录，以及 /etc/crontab、/etc/rc.local 等自启动位置，攻击者常在这些地方植入后门。如果发现异常进程或未知计划任务，立即终止并删除相关文件。若不确定是否中招，可以检查系统日志：登录 SSH（需先在设置中开启）执行 last 命令查看登录记录，或使用 journalctl -u fnos 查看服务日志，寻找可疑 IP 和异常行为。
第三步，关闭公网暴露。这是最立竿见影的止血措施。如果你没有刚需必须从外网访问，立刻在路由器上删除端口转发规则，或在飞牛设置中关闭 UPnP 映射。飞牛默认开启 FN Connect 远程服务，这也是漏洞攻击的主要入口之一。在“系统设置 - 远程访问”中，建议暂时关闭 FN Connect，或至少设置访问码和双重验证（2FA）。如果你依赖远程办公，建议改用更安全的方案：一是使用官方推荐的加密隧道（如节点小宝、ZeroNews 等内网穿透工具），它们不暴露本地端口，攻击面小得多；二是在路由器或防火墙上仅允许特定 IP 段访问，并启用 2FA。知乎有文章详细对比了各类远程方案，个人实测下来，节点小宝 4.0 的一键组网体验最好，但免费版速度有限，ZeroNews 则更偏企业级。
第四步，配置防火墙和 WAF。如果必须保留公网访问，务必做好纵深防御。飞牛系统自带防火墙（在“系统设置 - 网络 - 防火墙”中），建议只开放必要端口（如 443、445），其他全部拒绝。同时，可以部署开源 WAF 雷池（SafeLine）来过滤恶意请求。微信公众号“红头发蓝胖子”发布了《0DAY 漏洞告急？部署雷池 WAF + 系统防火墙，把黑客挡在门外！》教程，详细演示了如何在飞牛上用 Docker 安装雷池，并配置反向代理保护 Web 服务。雷池能拦截 SQL 注入、路径穿越等常见攻击 payload，对这类漏洞有很好的缓解效果。另外，Lucky 工具也能实现反向代理和端口隐藏，配合使用效果更佳。但要注意，WAF 不是万能的，它只能降低风险，不能替代关闭暴露。
完成上述步骤后，还需要做一次数据安全审计。检查 NAS 上是否有敏感文件被异常访问的痕迹，比如文件修改时间异常、新增了不明文件夹。建议开启飞牛的“文件系统快照”功能，定期创建快照，以便在遭受攻击后快速回滚。同时，务必开启 2FA 验证：在“系统设置 - 账号安全”中，为管理员账号绑定 TOTP 验证器（如 Google Authenticator），这能有效防止密码泄露后的未授权登录。飞牛官方帮助文档有详细步骤，照着做就行。
关于这次漏洞，飞牛官方的安全响应流程也暴露了免费 NAS 的共性问题。知乎专栏文章《飞牛 fnOS 漏洞暴露的不是代码缺陷，而是免费 NAS 的安全原罪》指出，免费系统缺乏安全团队预算，漏洞披露流程不透明，用户数据安全完全依赖厂商良心。这提醒我们，无论用哪个 NAS 系统，都要有“默认不安全”的心态。个人建议，重要数据除了放在 NAS，务必遵循 3 -2- 1 备份原则：至少 3 份副本，2 种不同介质，1 份离线存储（如移动硬盘或云盘）。飞牛自带的“加密备份”功能支持异地备份，可以配合使用。
最后，如果你还在犹豫是否继续使用飞牛，我的看法是：这次漏洞确实严重，但官方在一周内完成了修复，且后续版本持续强化安全，说明团队有技术能力。关键在于，你要把安全配置当成日常习惯，而不是等出事再补救。现在就去升级系统，关闭不必要的远程访问，开启 2FA，配置防火墙——这三件事做完，你的飞牛 NAS 才算真正安全。
相关阅读：
– 飞牛 NAS 系统升级全攻略：从 1.1.15 到 1.1.19 的完整步骤
– NAS 远程访问安全指南：替代公网暴露的 5 种方案
– 飞牛 fnOS 0day 漏洞事件全复盘：时间线、影响与反思