本内容来源于@什么值得买APP，观点仅代表作者本人 ｜作者：Lifeisgood

一、 2026年NAS圈的第一场“风暴”

作为近期热度极高的国产 NAS 系统，飞牛 OS（fnOS）在收获口碑的同时，也迎来了诞生以来最严峻的生存挑战。近期关于“飞牛 0day 漏洞”、“被黑产盯上”的传闻闹得沸沸扬扬。

作为一名NAS用户，我经历了从最初的自查，到今晚（2 月 12 日）正式收到 v1.1.20 关键版本推送的全过程。今晚文章不聊虚的，只聊这次漏洞到底怎么回事，以及我们该如何自保。

二、 官方复盘：今晚这篇“反思录”说了什么？

就在今晚（2月12日），飞牛官方发布了题为《致飞牛用户：近期安全事件的完整说明与深刻反思》的重磅公告。文中首次公开了大量此前不为人知的细节：

• 核心漏洞实锤： 官方坦诚系统确实存在“越权访问、路径穿越、验证绕过”三大基础安全缺陷。
• 攻击复盘： 1 月 20 日开始出现定向入侵；1 月 31 日后演变为全网蠕虫式无差别攻击。
• 黑产手段： 攻击者植入 CC 型远程控制木马，甚至修改受害设备的 hosts 文件阻止系统升级，并对官方更新服务器发起 DDoS 攻击。
• 深刻反思： 官方承认去年 12 月就有用户反馈过相关漏洞，但当时内部“重功能迭代轻安全”，仅将其当作普通 Bug 处理，错失了最佳修复时机。

三、 三次紧急迭代：官方的“极限操作”

为了应对这场危机，飞牛在短时间内连续推送了三次关键升级，这几次升级逻辑各不相同，值得我们复盘：

1. v1.1.18（紧急阻断）： 修复了全部三个核心漏洞，并主动中断了未升级设备的 fnConnect 中转服务，通过“断网”强制阻断攻击扩散。
2. v1.1.19（安全强化）： 针对木马变种开始查杀，并默认关闭 SSH，引导用户开启双重验证（2FA）。
3. v1.1.20（今晚推送·系统自愈）： 默认关闭 SSH： 进一步收窄受攻击面。
4. 系统文件修复： 专门针对那些被病毒破坏导致无法更新的设备，新增了“一键修复”功能，重新安装所有必要依赖组件。

四、 避坑实战：1.1.20 升级后的安全建议

今晚升级到 v1.1.20 后，建议各位值友务必执行以下操作：

• 使用“系统文件修复”： 如果你之前的升级反复失败，点击该功能让系统自愈。
• 确认 SSH 状态： 截图显示，新版默认关闭了 SSH 权限，建议在确认网络环境安全前保持关闭状态。
• 密码重置： 配合 1.1.20 的新策略，修改更复杂的密码并开启官方引导的双重验证。

五、 来福君总结：成长的阵痛，还是品牌的危机？

飞牛在今晚的公告中提到：“成长不能成为安全的借口”。

这次 0day 事件是一记警钟。虽然飞牛早期的“先修复后通告”策略剥夺了部分用户的知情权，但在 1.1.18 到 1.1.20 连续的高频迭代中，我们看到了团队救场的热诚和解决问题的能力。作为用户，我们要的是更透明、更安全的私有云体验。

提醒： 如果你的设备至今搜不到更新，大概率是被病毒篡改了 DNS 或 hosts，请务必查看官方公告中的手动脚本或重装系统盘。

作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～