2026 年 1 月底飞牛 fnOS 曝出高危路径穿越漏洞，攻击者可绕过认证直接读取 NAS 上的任意文件，包括照片、合同甚至加密货币钱包。本文基于公开情报和实际案例，提供一套可立即执行的自查流程：先确认设备是否暴露公网、再检查日志和异常进程，随后给出升级到最新版本的注意事项、防火墙配置方法以及雷池 WAF 等主动防御部署思路。建议所有公网暴露的飞牛用户按本文顺序操作，优先切断暴露面再谈后续加固。
2026 年 1 月底，飞牛 fnOS 被曝出存在高危路径穿越漏洞，攻击者无需登录就能通过构造特殊 URL 读取 NAS 上的任意文件。腾讯云开发者社区的一篇复盘文章里提到，有用户实测通过类似 /app-center-static/serviceicon/myapp/%7B0%7D/?size=../../../ 的路径直接读到了 qBittorrent 的配置文件，还有人在公网扫到的设备里看到了手机相册备份中的身份证照片和微信截图。这个漏洞的核心在于 Web 管理服务没有对 ../ 这类路径跳转做校验，导致请求应用图标的接口变成了任意文件读取的入口。更麻烦的是，漏洞在 1.1.15 版本之前普遍存在，也就是说只要你把飞牛 NAS 暴露在公网且没有升级，理论上就处在被批量扫描的范围内。这篇指南会按顺序讲清楚怎么自查、怎么修复、怎么长期加固，每一步都是可以直接照做的操作，不是空泛的安全建议。
先明确一个事实：飞牛官方在 2026 年 2 月前后发布了多个版本更新来修复这个路径穿越问题，但安全披露页面显示，后续仍然有 Linux 内核、Gitea、Immich 等多个高危漏洞被陆续通报。这说明 NAS 系统的安全维护是个持续过程，不能指望打一个补丁就一劳永逸。飞牛官方也建立了安全响应中心，对报告漏洞的白帽子提供最高 30000 元人民币的奖励，并明确禁止在漏洞修复前公开细节。作为普通用户，我们能做的就是在官方修复前尽量减少暴露面，在修复后尽快更新，同时把日常安全习惯建立起来。
第一步：确认你的 NAS 是否暴露在公网
这是整个自查流程里最紧急的一步。飞牛 NAS 默认的 Web 管理端口是 5666，如果你在路由器上做了端口转发，或者使用了 DMZ 主机功能，那就相当于把 NAS 直接摆在了公网上。另一个常见暴露途径是使用飞牛官方的 FN Connect 远程访问服务，虽然这个服务经过了中转和鉴权，但路径穿越漏洞如果影响到 Web 服务本身，FN Connect 同样可能成为攻击入口。
怎么判断是否暴露？最简单的方法是直接在手机流量下访问 http:// 你的公网 IP:5666，如果能打开登录页面，说明端口已经暴露。如果你不知道自己家里的公网 IP，可以用ip.sb 或ifconfig.me这类网站查询出口 IP，然后让一位朋友从外部网络尝试访问。还有一个更隐蔽的情况：有些用户为了远程看影视，把飞牛的 Web 端口转发出去，或者用 DDNS 绑定域名指向 NAS，这些都属于暴露面。腾讯云那篇复盘文章里给出了一个很直接的建议——只要任何一个条件满足，立刻关闭端口转发或 DDNS 解析。
如果确认没有暴露公网，但用 FN Connect 的远程访问功能，也需要留意。虽然 FN Connect 本身有一定的安全层，但路径穿越漏洞发生在 Web 服务层，理论上攻击者如果能绕过 FN Connect 的鉴权，依然可能触达底层接口。保险做法是暂时停用 FN Connect，改用 Tailscale 或 ZeroTier 这类组网工具做远程访问，等官方确认完全修复后再恢复。
第二步：检查系统日志和异常进程
如果确认 NAS 曾经暴露在公网，或者你无法确定是否暴露过，下一步就是检查有没有被入侵的痕迹。飞牛 NAS 基于 Debian 12 深度定制，系统日志存储在 /var/log/ 目录下，Web 服务的访问日志通常位于 /var/log/nginx/ 或/var/log/lighttpd/。用 SSH 登录 NAS 后，执行 sudo tail -n 200 /var/log/nginx/access.log，重点查找包含../、%2e%2e、/etc/passwd 等特征的请求记录。如果发现大量来自同一 IP 的异常请求，而且路径中带有编码后的穿越字符，基本可以判断被扫描过。
更直接的检查方式是看有没有异常进程和网络连接。执行 sudo ps aux 查看 CPU 占用高的进程，特别留意那些名字看起来可疑的进程，比如 xmrig、kdevtmpfsi 这类挖矿木马常用名称。接着用 sudo netstat -antp 查看当前建立的网络连接，如果发现有 NAS 主动连接到陌生 IP 的情况，尤其是连接外部 445 端口或随机高端口，很可能已经中招。有用户在论坛反馈，中招后 CPU 被莫名吃满、带宽异常走高，这些症状都值得警惕。
还有一个容易被忽略的检查点：飞牛相册和文件管理功能是否有异常操作记录。如果攻击者通过路径穿越读取了相册目录，可能会留下访问痕迹。虽然普通用户很难直接从飞牛的 Web 界面看到这些日志，但可以通过 SSH 进入系统后检查 /vol/photo/ 目录下是否有新增的隐藏文件或异常权限变更。如果你发现自己没动过 NAS，但硬盘指示灯频繁闪烁、系统日志里有不明来源的登录尝试，建议直接把重要数据备份出来，然后重装系统。
三步修复：切断暴露、升级版本、加一层 WAF
确认情况后，修复方案分三步走。第一步是立即切断公网暴露。进入路由器管理界面，删除指向 NAS 5666 端口的转发规则，关闭 DMZ 主机功能。如果你用了 DDNS，先把 DDNS 解析暂停或删除。这一动作的优先级高于升级系统，因为只要暴露面还在，哪怕你正在升级的这几分钟里，攻击者都有可能扫描进来。
第二步是升级到最新版本。飞牛官方在 2 月初发布了包含路径穿越修复的安全更新，具体版本号以官方论坛公告为准，但根据社区反馈，至少需要升级到 1.1.15 以上的版本。升级路径很简单：登录飞牛 Web 管理界面，进入系统设置 - 系统更新，点击检查更新，等待下载完成后重启。如果你当前版本过低，可能会先收到一个中间版本的更新，然后再检查一次是否有新版本。升级完成后，建议立即修改管理员密码，并开启账号双重验证（2FA），飞牛官方帮助文档里详细说明了设置方法，操作大约需要两分钟。
第三步是部署主动防御。如果你有公网 IP 且确实需要远程访问 NAS，单纯靠系统防火墙还不够。这里推荐两层方案：第一层是系统防火墙，飞牛基于 Debian，可以直接使用 ufw 命令。登录 SSH 后执行 sudo ufw allow 5666/tcp 只放行必要端口，再执行 sudo ufw default deny incoming 拒绝所有其他入站连接。第二层是部署雷池 WAF（SafeLine），这是个开源的 Web 应用防火墙，社区有现成的 Docker 镜像，部署在 NAS 前面可以有效拦截路径穿越和 SQL 注入这类攻击。有视频博主实测过，雷池 WAF 对路径穿越的拦截效果明显，可以作为漏洞修复前的临时防护手段。但要注意，WAF 不是万能保险，它只能拦截已知的攻击模式，持续更新系统和应用才是根本。
日常安全习惯：把 NAS 当服务器而不是路由器
这次事件真正暴露出来的问题，不仅是代码缺陷，更是很多 NAS 用户的安全意识薄弱。飞牛的用户群体里有大量第一次接触 NAS 的人，他们可能连端口转发和防火墙都分不清，就直接把设备暴露在公网上了。腾讯云那篇文章里有一句话说得挺准确：NAS 要按服务器的标准对待，而不是当个路由器插件。这句话值得记住。
具体到日常使用，有几个可以立即养成的习惯。一是不要把 NAS 直接暴露在公网，远程访问优先用 Tailscale、ZeroTier 或 WireGuard 这类组网方案，飞牛官方帮助文档里也有 FN Connect 的使用指南，但建议只在局域网或信任网络内使用。二是在系统设置里开启双重验证（2FA），飞牛官方帮助文档明确写了设置方法，支持 TOTP 验证器，用 Google Authenticator 或 Authy 都能配合。三是定期更新系统和应用，飞牛安全披露页面会公布每个重要漏洞的修复版本，建议每周登录一次后台检查更新。四是给重要数据做 3 -2- 1 备份，也就是三份数据、两种介质、一份离线存储。如果这次路径穿越漏洞导致照片或文档泄露，任何补丁都补救不回来的。
最后说一个更实际的建议：如果你不确定自己的 NAS 是否已经中招，与其反复排查，不如直接备份个人数据后重装系统。重装飞牛系统大约需要一个多小时，用官方引导 U 盘就能完成，重装后先全部更新到最新版本，再恢复备份数据。这个方法比任何日志排查都彻底，省时省力。重装完成后，按照上面的习惯重新配置安全设置，这样才能保证设备是干净且当前安全状态是可控的。