最近被问得最多的两个问题，其实指向同一件事：一个是「群里都说要打补丁，我打开 DSM 却显示已是最新版本」，另一个是「我那台 218 是不是已经不更了」。这两个问题的答案都不是「没救了」，但也不是「等推送就行」——中间隔着一层很多人没留意的机制：补丁发布了，不等于你的设备会收到通知。
先把结论摆出来：没推送 ≠ 没补丁 ≠ 机型停更。三件事各有各的成因，处理方式完全不同。11 月 11 日群晖补发的 Synology-SA-26:19 公告就是个典型样本：修复程序其实早在 10 月 12 日的 DSM 更新里就放出去了，公告压了一个月才披露，官方的说法是给用户预留更多升级时间。换句话说，不少人是在「补丁已经躺在那儿一个月」的状态下，等一个根本不会来的提示。
一、这次公告修的是什么，先别和 10 月那波搞混
两项漏洞，共同点是不需要身份验证：CVE-2026-76954 出在 DSM 的身份验证 API，属于 SQL 注入，攻击者可以绕过认证远程读写任意文件；CVE-2026-85101 在 DSM 附带的 rsync 同步组件里，同样是认证绕过，可读写特定文件并造成有限的拒绝服务。对一台管理界面能被公网触达的 NAS 来说，风险直接落在数据上，不是「功能小毛病」。
要顺带说清楚：这次和 10 月那波 C3RB3R 勒索不是同一回事。那轮攻击利用的是 2024 年 9 月就已修复的旧弱点，本次是新披露的两项。所以别拿「我没中勒索」当「不用打这个补丁」的理由，也别把 10 月 PHP2Shell（SA-26:14）那组修复号拿来对照这一批——两组数字长得很像，尾巴差一位就是完全不同的补丁。
二、先分清三件事：没推送、没补丁、停更
| 你看到的现象 | 实际是 | 该做什么 |
|---|---|---|
| 控制面板显示「已是最新版本」，但版本号不带 Update 1 | 更新通知没到，机器停在基础构建上 | 到下载中心按型号手动装 |
| 下载中心能找到对应型号的补丁包 | 补丁存在，只是没推给这台设备 | 下载 .pat，DSM 里手动更新 |
| 机型在「最后可升级版本」名单里 | 大版本到头，但仍在维护期 | 照常打安全补丁，顺便规划换机 |
| 生命周期表里标「终止支持」 | 这才是真的不再有安全更新 | 收回内网、做好异地备份、考虑换机 |
三、为什么 DSM 不给你推这个更新
- 官方自己承认的分发差异。公告里写明：部分设备可能因地区或系统状态等原因没有显示更新通知，这类用户可以根据设备型号，从下载中心获取更新手动安装。这不是故障，是已知情况。
- 自动更新被关了。不少人装完 NAS 就把自动更新关掉图个清净，或者只勾了「安装重要更新」，而某个补丁被归到了另一类。先去控制面板看一眼更新设置，别凭印象。
- 机型在「不收到更新通知」名单里。DSM 7.4 的发行说明里同时挂着两份名单：一份是「DSM 7.4 将会是下列机型最后可升级的版本」，另一份是「以下机型不会在 DSM 上收到本次更新通知，请前往下载中心下载安装包」。两份读起来都像停更公告，含义完全不同——前者说大版本到头，后者只是说别等推送。
- 当前版本低于目标分支。7.4 分支的补丁包装不到 7.2 的系统上，得先把大版本升上来，再打这一轮的小补丁。跨分支直升是不成立的。
- 设备端自己卡住了。连不上官方更新服务器、系统盘空间不足、上次更新停在半途没清干净——这类通常伴随「检查更新失败」之类的提示，和「静悄悄什么都不显示」是两种症状，排查方向不一样。
四、手动升级四步：从型号到完整版本号
- 记下型号和当前完整版本号。控制面板 → 信息中心，别只看「7.4.1」，要把整串抄下来。
- 看懂这串数字在说什么。决定你去下载中心找哪一列的，是主版本和构建号；决定这次安全修复有没有装上的，是末尾那个 Update。
- 到群晖下载中心按型号取包。选型号 → DSM → 对应分支，下载
.pat补丁包。不同机型的包不通用，别拿别的型号的文件凑合。 - DSM 里手动更新并核对结果。控制面板 → 更新和还原 → 手动更新（菜单名随 DSM 版本略有差异），上传 .pat、等重启，然后回信息中心确认完整版本号带上
Update 1或-1后缀，才算到位。
7.4.1-90080 Update 1
│ │ │ │ └─ 追加补丁：这次的安全修复挂在它上面
│ │ │ └──────── 构建号：决定你去下载中心找哪一列
│ │ └───────────── 次版本
│ └─────────────── 小版本
└───────────────── 主版本：7.4 / 7.3 / 7.2 是三条不同的升级线已经开着 SSH 的，也可以在 DSM 里读版本信息文件核对构建号和小版本号：
cat /etc.defaults/VERSION
# 关注 buildnumber / smallfixnumber；文件路径可能随 DSM 版本变化，以实际为准没开 SSH 就直接在信息中心看，不必为了查个版本号特意把 SSH 打开——多开一个入口，和这篇文章后半段要讲的事正好相反。
五、四个分支的目标版本（核对用）
| 当前所在分支 | 要升到的完整版本 | 怎么升 |
|---|---|---|
| DSM 7.4.x | 7.4.1-90080 Update 1（也写作 7.4.1-90080-1） | 控制面板 → 手动更新 |
| DSM 7.3.x | 7.3.2-86009 Update 5 | 同上 |
| DSM 7.2.2 | 7.2.2-72806 Update 10 | 同上 |
| DSM 7.2.1 | 7.2.1-69057 Update 13 | 同上 |
对照时最容易串批次：10 月 SA-26:14（PHP2Shell）那组是 7.4-90075、7.3.2-86009-4、7.2.2-72806-9、7.2.1-69057-12。数字几乎一样，尾巴差一位就是另一回事。以本次公告给的目标版本为准，别拿旧清单查新补丁。
六、DS218 这类老机型：是停更，还是「最后版本」
拿被问到的 DS218 举例。它确实在 DSM 7.4 发行说明的「DSM 7.4 将会是下列机型最后可升级的版本」名单里——这句话的意思是以后不会再有 7.5 这样的大版本，不是「从今天起不再给安全补丁」。
群晖的软件生命周期表写得更直白：DSM 7.4 于 2026 年 6 月发布，维护阶段结束于 2028 年 6 月，且这一版没有延长支持阶段。在这个窗口内，7.4 分支的安全修复照常推送；DS218 在官方支持状态表里仍属于「完整」，不是「终止」。
真正要留意的是另外两种情况。一是机器还停在 7.2 或更早——7.2 的维护阶段 2025 年 12 月就结束了，这类设备不在本轮补丁的直接推送范围内，得先升到 7.4 再打小补丁。二是 2028 年 6 月之后，这批机型不会再有官方补丁，那是换机规划的问题，不是今天要慌的事。前者现在就能处理，后者还有近三年过渡期。
还有个容易误判的点：老机型常被归进「不会在 DSM 内收到更新通知」那份名单，所以「显示已是最新」在 DS218 上格外常见。它不是被放弃了，只是要你自己去下载中心拿包。
七、实在升不动：把 NAS 收回内网
官方给无法及时升级的设备只留了一条建议：确保 NAS 仅在内网使用，避免把相关接口暴露到公网。落到具体动作：
- 关掉路由器上的端口转发和 UPnP，把为 DSM 管理页、5000/5001、SSH、WebDAV 开的映射逐条删掉；
- 收起 QuickConnect、DDNS 这类把管理界面挂出去的入口，远程访问改走 VPN；
- 在防火墙里直接禁止 NAS 的这个 IP 访问外网，内网文件共享和业务不受影响；
- 停用用不上的套件与服务，把能减掉的入口先减掉；
- 留一份这台 NAS 之外的备份，快照别只放在本机。
别把「我密码够复杂」当护身符——这两项漏洞的前提就是不需要账号密码。只要管理页能被公网扫到，密码强度根本不参与判断。同理，走不了官方升级通道的系统，也只剩这条兜底：别用 DDNS 或 QuickConnect 把它暴露出去。
八、三个最容易踩的误区
- 看到「已是最新版本」就认为安全。那句话只说明 DSM 没拿到新通知，不说明补丁装上了，以完整版本号为准。
- 拿 10 月的修复号对这一批。两批公告、两组数字，尾巴差一位就是不同补丁。
- 只关端口转发，忘了 QuickConnect 和 DDNS。管理界面只要还有一条路径能从公网进来，等于没关。
把判断顺序捋一遍就清楚了：先看自己当前的完整版本号，再去下载中心按型号找对应分支的补丁包，装完核对版本；机型老不代表停更，看的是生命周期表里的状态；真升不动，就把 NAS 收回内网，别让管理页在公网露着。公告会晚发，通知会漏推，但版本号是你自己能查的。
补丁重启后 NAS 登不上、分不清是补丁副作用还是被入侵，可以接着看 群晖打了 PHP2Shell 补丁后 NAS 登不上；外网访问该不该开、哪些口不该开，端口映射和没有公网 IPv4 时的远程访问两篇讲得更细；数据兜底参考 SMART 警告先备份还是先检测 与 RAID 与备份怎么选。
