MailPlus Server 漏洞修复：升级与核查指南

概述

Synology 于 2026 年 6 月 26 日发布 Synology-SA-26:11 安全通告，将 MailPlus Server 多个漏洞的综合严重级别标记为 Critical，状态为 Resolved，修复版本已提供。截至 2026 年 7 月 26 日核验，该通告列出三个 CVE，其中 CVE-2026-13136 CVSS 评分 10.0，远程攻击者无需认证即可利用。官方声明无缓解措施，唯一有效保护是升级。

使用 MailPlus Server 的企业，应先确认 DSM 分支和 MailPlus Server 完整版本号，与官方修复表核对后，备份邮件数据与配置，安排维护窗口完成升级，并验证邮件收发、日志、账号权限、互联网暴露和恢复能力。

本文不提供漏洞复现路径或攻击代码。对企业真正有价值的问题是：哪些系统需要检查、应该升级到哪个版本、维护窗口前准备什么，以及补丁完成后怎样确认邮件服务与安全控制仍然有效。

官方安全通告涉及哪些问题？

Synology-SA-26:11 列出三个 CVE，综合严重级别为 Critical：

CVE-2026-13136（CVSS 10.0）：授权机制缺陷。远程攻击者无需认证即可读写任意文件并造成拒绝服务。这是本次通告中严重级别最高的漏洞。

CVE-2025-15660（CVSS 8.8）：弱加密问题。相邻网络攻击者可能读写任意文件并造成拒绝服务。该漏洞由安全研究者 gcali 经 Trend Micro Zero Day Initiative 报告（ZDI-CAN-28554），ZDI 于 2026 年 7 月 15 日公开披露了更多技术细节（ZDI-26-423）。

CVE-2026-13135（CVSS 5.3）：通信通道限制不当。远程攻击者可能访问内部服务。Zero Day Initiative 后续公开记录将该问题对应为 ZDI-CAN-28485。

截至 2026 年 7 月 26 日核验，无公开的概念验证代码（PoC），也无已确认的在野利用报告。以上 CVSS 分数来自多个安全分析来源对 Synology 通告的引用。

对运维人员而言，只要确认产品和版本处于受影响范围，就应按照官方修复版本处理，而不是等待互联网上出现更多攻击细节。

哪些 MailPlus Server 版本可能受影响？

Synology-SA-26:11 列出的受影响产品为运行在以下 DSM 分支上的 MailPlus Server：

• DSM 7.3
• DSM 7.2.2
• DSM 7.2.1

管理员应在套件中心查看 MailPlus Server 的完整版本号（格式为 4.0.1-XXXXX），与下一节的修复版本表逐项核对。仅看到"4.0.1"不代表已经安全，因为不同 DSM 分支对应的修复构建号不同。

如果企业使用的 DSM 或 MailPlus Server 分支没有出现在上述列表中，不要自行推断"肯定不受影响"或"使用同一个安装包即可"。应通过 Synology 下载中心、发行说明或技术支持确认。

不同 DSM 分支需要升级到哪个版本？

DSM 分支	MailPlus Server 最低修复版本	管理员操作	核验来源
DSM 7.3	4.0.1-31663 或更高	在套件中心确认构建号 ≥ 31663	Synology-SA-26:11
DSM 7.2.2	4.0.1-21663 或更高	在套件中心确认构建号 ≥ 21663	Synology-SA-26:11
DSM 7.2.1	4.0.1-21663 或更高	在套件中心确认构建号 ≥ 21663	Synology-SA-26:11

官方明确声明：此次漏洞无缓解措施（no workaround），唯一有效保护是升级到修复版本。

企业升级前应该准备什么？

1. 建立资产和版本清单

至少记录 NAS 型号、DSM 版本、MailPlus Server 完整版本号、MailPlus 客户端版本、邮件域、节点角色、反向代理或防火墙入口，以及是否部署高可用架构。多台 NAS 运行邮件服务时，不能只检查其中一台。

2. 确认外网暴露路径

邮件服务器通常必须从互联网接收 SMTP 流量，但管理界面不一定需要面向公网开放。应检查路由器端口映射、防火墙策略、反向代理、VPN、QuickConnect 或其他远程入口，明确哪些端口用于邮件协议，哪些仅用于管理。

3. 备份邮件数据与关键配置

升级前应确认以下内容存在可恢复的备份路径，并检查最近任务是否成功：

• 邮件数据：用户邮箱内容、附件和归档邮件
• 用户与权限：邮箱账号列表、别名、分组和权限设置
• 证书：SSL/TLS 证书文件和私钥，记录到期时间
• DNS 和域名配置：MX 记录、SPF、DKIM、DMARC 设置
• SMTP 中继和反垃圾邮件规则：中继服务器地址、端口、认证和过滤策略
• 黑白名单：发件人、域名和 IP 黑白名单

仅看到"任务绿色"仍不够，企业还应知道单封邮件、单个邮箱和整套服务分别如何恢复。备份不能修复漏洞，但能在升级异常或配置损坏时提供恢复来源。

4. 检查邮件队列

升级前确认当前邮件队列无大量积压。如果有未投递邮件，应等待队列基本清空或记录队列状态，避免升级重启后邮件丢失或重复投递。

5. 高可用环境特殊准备

部署双节点或高可用的邮件环境，应按照 MailPlus High Availability 文档确认升级顺序和维护步骤，不能直接套用单机流程。升级前记录主备节点角色和同步状态。

6. 准备回退方案

明确升级失败时的恢复路径：是否有完整的系统快照可回滚，备份数据能否在合理时间内恢复邮件服务，是否有备用 SMTP 中继或其他业务连续性方案。这里的"回退"是指通过备份恢复邮件能力，不是未经官方支持地降级 DSM 或套件。

7. 选择维护窗口

补丁过程可能影响邮件收发、索引、客户端连接或高可用节点状态。运维人员应避开业务高峰，提前通知用户，并准备验证账号、内部测试地址和外部测试邮箱。

推荐的升级执行顺序

1. 在安全通告中确认 DSM 分支和最低修复版本。
2. 检查 NAS 存储池、系统分区和套件状态，先处理明显故障。
3. 完成邮件数据与配置备份，记录任务和恢复位置。
4. 导出或截图关键网络、域名、证书、SMTP 中继与反垃圾邮件设置。
5. 确认邮件队列基本清空。
6. 按官方说明升级 MailPlus Server；如涉及 DSM 或依赖套件升级，遵循官方顺序。
7. 升级后重新检查完整构建号，与安全通告修复表逐项比对。
8. 按下一节的验证清单测试邮件服务各项功能。

如果部署双节点或高可用环境，应按照对应架构的维护文档执行，不能把单机升级步骤直接套用到集群。

升级完成后应该验证什么？

以下清单供管理员在升级后逐项核对。并非所有企业都启用了全部功能，标注"按实际启用功能核查"的项目应根据实际环境判断。

验证项目	检查要点	备注
内部邮件收发	同域用户互发邮件，确认收件箱正常接收
外部邮件收发	从外部邮箱发入，从内部发出，双向测试
SMTP / IMAP / POP3	使用邮件客户端测试各协议连接	按实际启用协议核查
Webmail	通过浏览器登录 MailPlus Web 界面收发邮件
移动客户端	手机邮件客户端连接测试	按实际启用功能核查
邮件队列	查看队列是否有积压或异常退信
反垃圾邮件	确认过滤规则生效，测试邮件不被误判	按实际启用功能核查
SSL/TLS 证书	确认证书状态有效、未过期、域名匹配
DNS / MX / SPF / DKIM / DMARC	确认域名解析和邮件认证记录正确
管理员登录	DSM 管理员和 MailPlus 管理员均能正常登录
普通用户登录	抽查普通邮箱用户登录和收发
日志和告警	检查 MailPlus 日志和 DSM 通知中心是否有异常
备份任务	确认邮件备份任务恢复正常运行
高可用状态	确认主备节点角色和同步状态正常	按实际部署核查

打完补丁后还要核查什么？

账号与管理员权限

DSM 管理员、MailPlus 管理员和普通邮箱账号应分离。禁用不再使用的账号，核查是否存在异常登录记录。能启用多因素认证的管理账号应配置 MFA。管理员不应使用日常邮箱密码处理系统管理。

网络和管理边界

邮件协议需要开放不代表整个 NAS 都应暴露在互联网上。管理界面可以优先通过 VPN、受限来源 IP 或独立管理网络访问。DSM 管理端口不应与邮件服务端口一起面向公网开放。防火墙规则应遵循最小开放原则，并定期检查临时规则是否被遗忘。

日志和告警

至少确认以下事件能够被发现：登录失败、管理员操作、套件异常、磁盘空间不足、邮件队列积压和证书到期。日志如果只保存在同一台 NAS 上，在设备被破坏或管理员权限失陷时可能一并丢失；关键环境可评估远程日志或安全平台集中保存。

备份与恢复演练

邮件系统的数据变化频繁。备份频率应与企业可接受的数据损失范围匹配，并定期测试邮箱或邮件恢复。RAID、快照和高可用都不能替代独立、可恢复的备份副本。

补丁只是安全闭环的一部分。企业还可以对照群晖 NAS 勒索软件防护与快照恢复方案，检查账号隔离、最小暴露、日志、快照、独立备份和恢复演练是否形成完整路径。

为什么不能只依赖自动更新？

自动更新可以缩短暴露时间，但企业邮件环境仍需要变更管理。原因包括：

• 不同 DSM 分支对应的完整构建号不同；
• 套件可能存在依赖或高可用升级顺序要求；
• 升级过程可能影响邮件收发；
• 更新成功不等于业务验证成功；
• 旧账号、错误端口和弱权限不会自动随补丁消失。

成都某电气企业 SA3600 快照恢复案例并不是 MailPlus 漏洞案例，但其账号核查、日志追踪、快照恢复和终端备份过程说明：安全事件发生后，企业需要的不只是"版本已经更新"，还要能确认影响范围并恢复业务。

更稳妥的做法是：自动接收安全通知，严重漏洞优先安排维护窗口，同时保留升级前检查、升级后验证和回退方案。

下一步：把安全通告转化为升级工单

成都及西南地区正在运行 MailPlus Server 的企业，可在维护前梳理 DSM 与套件版本、互联网暴露、邮件备份和恢复验证，再形成升级、验证与回退清单。如需协助环境评估，可通过美步科技支持中心咨询。

本文依据 2026 年 7 月 26 日可获得的公开资料整理；如果 Synology 后续更新通告内容或修复版本，应以最新官方版本为准。