2026 年 1 月底，飞牛 fnOS 被曝出高危路径穿越漏洞，攻击者无需登录即可遍历并读取 NAS 上的任意文件，受影响设备一度达到 27 万台。本文完整复盘这次事件，拆解漏洞攻击原理，给出自查中招的 5 个方法，并针对公网用户提供立即升级到 fnOS 1.1.19、开启 2FA 验证、部署系统防火墙与雷池 WAF 等可落地防护方案，帮你把黑客挡在门外。
2026 年 1 月底，飞牛 fnOS 被曝出高危路径穿越漏洞（CVE 未分配），攻击者无需登录即可绕过认证直接读取 NAS 上任意文件，受影响设备一度达到 27 万台。这是我入行 NAS 评测以来见过的针对国产 NAS 系统最严重的一次安全事件，不少用户的家庭照片、客户合同甚至比特币钱包文件被拖走。飞牛官方随后紧急发布 fnOS 1.1.19 修复版本，今天这篇文章把整个事件从原理到修复完整说清楚，并且给出一套不需要专业背景就能执行的安全加固方案。
这个漏洞的核心问题出在路径穿越（Path Traversal）上。正常逻辑下，NAS 系统会严格限制用户只能访问自己授权范围内的目录，但飞牛这次的问题在于某些接口没有对文件路径做足够的规范化处理，攻击者通过构造特殊符号比如../，就能跳出限制目录，直接读取系统任意路径下的文件。更致命的是这个接口不需要身份认证，意味着只要设备暴露在公网上，任何人都能利用这个漏洞把整个磁盘翻个底朝天，不需要你的账号密码。根据安全研究员后续公布的分析，漏洞影响的范围不只是网页端管理界面，部分 API 接口也存在同样问题，实际可利用的攻击面比最初曝光的更广。
这次事件之所以引爆社区，一个关键原因在于飞牛官方初期的应对态度。漏洞被曝光后的一两天里，官方并没有第一时间向所有用户推送安全警报，有用户反映自己完全是在看到社区讨论才知道这回事，这让很多长期把飞牛当作主力 NAS 用的用户感到失望。随后飞牛在 2026 年 2 月初紧急暂停了中继服务，同时发布 fnOS 1.1.18 版本，但由于修复不彻底，最终在 1.1.19 版本才真正解决路径穿越问题。期间各类自媒体开始统计公网暴露的设备数量，第三方安全机构扫描结果显示有大约 27 万台飞牛 NAS 直接暴露在公网，这个数字在消费级 NAS 里相当吓人。
对于已经开启远程访问的用户来说，现在需要立刻做一次自查。登录飞牛系统后进入设置页面，查看当前系统版本，如果低于 fnOS 1.1.19，说明漏洞还没修补，属于高危状态。接着进入文件管理器，看看是否存在异常文件夹或可疑文件，重点检查根目录和 Docker 目录下有没有来路不明的脚本文件，有些攻击者成功进入后会在 NAS 上植入后门。然后查看系统日志，注意有没有大量来自陌生 IP 的登录失败记录或不正常的文件读取记录，如果发现某个时间段内日志出现大量重复访问请求，很可能就是扫描器在探测你的设备。同时留意 NAS 的 CPU 和内存占用是否突然飙升且持续不降，这可能是恶意程序正在后台运行。最后检查用户列表，确认是否存在自己没创建过的新账号，一旦发现立即删除并修改管理员密码。如果以上任何一项检测结果异常，立刻断开 NAS 的公网连接，在局域网环境下备份重要数据到移动硬盘，然后执行系统恢复或重刷系统。
修复方案分两步走。第一步是升级系统到最新版本，进入飞牛官网下载中心获取 fnOS 1.1.19 系统镜像，通过系统设置里的在线更新功能直接升级，或者用 U 盘刷机方式重新写入，升级完成后确认版本号已经变成 1.1.19 及以上。第二步是开启系统自带的安全加固选项，在设置里找到账号安全，打开双重验证（2FA），建议使用 Google Authenticator 或飞牛手机应用配合绑定，这样即使密码泄露攻击者也进不来。同时检查账号列表，删除所有不使用的账号，给每个使用者创建独立账号而不是共用管理员权限。文件共享方面，关闭不用的 SMB 和 WebDAV 服务，如果一定要开，给共享文件夹设置独立的访问密码，并且限制 IP 来源。
公网访问这块，飞牛本身提供的 FN Connect 远程连接服务在事件期间出现过暂停，恢复后功能调整了访问策略，如果你对公网暴露这件事已经产生阴影，完全可以不依赖飞牛自带的中继服务，改用更安全的访问方式。如果你的路由器支持 WireGuard 协议，直接在路由器上搭建 VPN 隧道，手机电脑在外时通过 VPN 进入家庭局域网再访问 NAS，这是目前最安全的远程访问方式。不想折腾路由器固件的话，可以用 Tailscale 这类开源组网工具，在 NAS 上装好客户端后，设备之间走加密隧道，不向公网开放任何端口。这部分部署过程飞牛官方帮助文档有详细介绍。
刚才说的都是被动防护，更主动的做法是部署雷池 WAF 配合系统防火墙。雷池（SafeLine）是一个开源社区版 WAF，基于 Nginx 开发，能够识别并拦截常见的 Web 攻击请求，包括 SQL 注入、XSS 攻击和路径穿越尝试。部署方式不复杂，在飞牛的 Docker 应用中心找到雷池镜像，按官方文档配置好监听端口，把 NAS 的 Web 管理端口流量先经过雷池过滤再到达系统。同时启用飞牛系统自带的防火墙功能，只允许需要的端口对外网开放，管理界面端口默认是 5666，如果你不需要远程访问管理界面就把这个端口在防火墙里直接封掉。系统防火墙的具体设置项在飞牛网络设置的安全区域里，可以按来源 IP 限制访问，国内用户如果只用家庭宽带，可以把自己的 IP 段加入白名单，其他 IP 一律拒绝。实测下来这套组合能把绝大多数扫描器的请求挡在第一层。
事件过后飞牛官方也上线了安全响应中心页面，里面详细列出了安全漏洞报告处理规则和测试规范，还公布了漏洞奖励计划。飞牛官方安全响应中心联系邮箱是 security@fnnas.com，想要反馈安全问题可以直接发邮件。官方还要求漏洞研究者遵守负责任披露机制，不公开漏洞细节、不利用漏洞搞破坏，同时对遵守规范提交漏洞的研究人员提供现金奖励，最高等级情报有对应奖金。这套机制说明飞牛在安全建设上确实在逐步正规化，但整个过程暴露出的应急响应速度问题仍然值得关注。
无论你用的是飞牛、群晖还是自己组的 TrueNAS，核心原则一样：不暴露不必要的端口，远程访问走 VPN 或加密隧道，系统更新第一时间打上，重要数据做 3 -2- 1 备份。趁这次事件，把家里的飞牛 NAS 安全方案重新梳理一遍，升级到 1.1.19 版本只是开始，真正的安全需要自己日常维护。