大家有發現嗎？群暉 9.8 分漏洞，隔了 29 天才公告，更新說明卻只有一句話

11/10 群暉發了 SA-26:19，裡面有一個自評 9.8 分、不用帳密就能讀寫任意檔案的 DSM 漏洞（CVE-2026-76954）。
漏洞本身看公告就好，我比較在意的是修補版本的日期，還有那幾版的更新說明寫了什麼。

【修補版本其實早就出了】

對照官網的 DSM 版本說明（11/12 查閱），SA-26:19 指定的修補版本是：

・7.3.2-86009 Update 5，標示 2026/10/12
・7.2.2-72806 Update 10，標示 2026/10/12
・7.2.1-69057 Update 13，標示 2026/10/12
・7.4.1-90080 Update 1，標示 2026/10/28

公告 11/10 才出來，所以 7.3 跟兩個 7.2 分之差了 29 天，7.4 差 13 天。這四版的 Fixed Issues 都只有一句「Fixed security vulnerabilities.」沒有公告編號、沒有 CVE，也沒標嚴重等級

【先修補、後公告是群暉寫明的做法】

公告頁上原文是這樣：「為了保護用戶，在公開提供修正之前，我們不會公開宣佈安全漏洞，也不會發佈此類漏洞的確切細節。有修正可提供使用時， Synology 官方網站就會公佈相關安全漏洞資訊。」

頁面沒寫「可提供使用時」之後多久公布。間隔長短我就不評了，我想講的是更新說明。

【更新說明是唯一的判斷依據】

如果你的 NAS 更新要排停機，能拿來判斷要不要馬上更的，大概就只有更新說明。偏偏這幾版只寫有安全修補，光看這段，看不出後來揭露的是 9.8 分。

9 月的 SA-26:13 也類似。DSM 7.4 的修補版本 7.4-90075，版本說明標示 6/16，比 9/18 的公告早了三個多月。

【小弟個人建議】
乾脆不等公告。DSM 只要出了寫「Fixed security vulnerabilities」的更新，就當作裡面可能有重大漏洞，盡快排時間更新。

・公告頁上方有 RSS，可以訂起來追
・更新通知別全靠，這幾版的說明自己就寫了 NAS 可能不會通知，群暉 10/29 的聲明也建議開自動更新
・SA-26:19 沒有暫時緩解措施，還沒更新之前，至少別讓管理介面直接開在外網

【有疑問想問群暉的】

・之後的更新說明能不能標一下嚴重等級？不寫 CVE，寫個 Critical 也好
・SA-26:19 沒列的 DSM 7.1、7.0、6.2 到底受不受影響？受影響的話有沒有修補或處置建議？
・同一天的 SA-26:18 有 25 個漏洞，其中 OTP 繞過要先有有效帳密，但產品表只列 7.4 跟 7.3，7.2.x 是什麼狀況？

資料核對到 2026/11/12，有錯誤的地方歡迎指正。

SA-26:19：https://www.synology.com/zh-tw/security/advisory/Synology_SA_26_19
SA-26:18：https://www.synology.com/zh-tw/security/advisory/Synology_SA_26_18
SA-26:13：https://www.synology.com/zh-tw/security/advisory/Synology_SA_26_13
產品安全性諮詢（政策原文、RSS）：https://www.synology.com/zh-tw/security/advisory
DSM 版本說明：https://www.synology.com/zh-tw/releaseNote/DSM
群暉 10/29 聲明：https://www.synology.com/zh-tw/company/news/article/C3RB3R/Synology%20%E5%91%BC%E7%B1%B2%E7%9B%A1%E9%80%9F%E6%9B%B4%E6%96%B0%20DSM%EF%BC%8C%E9%81%BF%E5%85%8D%E9%81%8E%E6%99%82%E7%89%88%E6%9C%AC%E6%9A%B4%E9%9C%B2%E6%96%BC%E9%A2%A8%E9%9A%AA

以上分享，也謝謝上一篇大家關注討論