关键群晖BeeStation零日漏洞（CVE-2025-12686）在Pwn2Own被发现，允许远程代码执行
群晖已为其BeeStation OS发布紧急安全更新，修补了一个在Pwn2Own爱尔兰2025黑客大赛期间被研究人员成功利用的零日漏洞（CVE-2025-12686）。该漏洞被评为CVSS 9.8分（关键级别），允许远程攻击者在受影响系统上执行任意代码。
该漏洞由Synacktiv攻击性安全团队的安全研究人员@Tek_7987和@_Anyfun在舞台上现场演示。
漏洞详情
当前被追踪为CVE-2025-12686的关键漏洞允许远程代码执行（RCE）——这是最危险的漏洞类别之一，一旦被利用，攻击者将完全控制易受攻击的设备。
群晖在公告中表示：“CVE-2025-12686允许远程攻击者执行任意代码。”
根据群晖的安全公告，最新更新之前的所有主要BeeStation OS版本均受到影响：
| 产品 | 严重程度 | 修复版本 |
|---|---|---|
| BeeStation OS 1.3 | 关键 | 1.3.2-65648或更高 |
| BeeStation OS 1.2 | 关键 | 1.3.2-65648或更高 |
| BeeStation OS 1.1 | 关键 | 1.3.2-65648或更高 |
| BeeStation OS 1.0 | 关键 | 1.3.2-65648或更高 |
影响范围和修复措施
BeeStation OS 1.0至1.3版本均受影响。用户应升级至1.3.2-65648或更高版本。公司强调用户必须立即应用此更新以降低被利用风险。
该漏洞的发现和利用展示了远程代码执行漏洞对网络存储设备构成的严重威胁，强调了及时安装安全更新的重要性。