OpenAI and journalism
Apple is getting this wrong
Parents Sue Google Over AI Safety Risks On School Chromebooks
Read more of this story at Slashdot.
Elvis and Eminem rights holders are suing Suno
Suno is facing yet another pair of lawsuits. A group of rights holders of Elvis Presley's music and the publisher of some of Eminem's biggest records are suing the AI music company, claiming it illegally generates music and lyrics that mimic those artists. The lawyers in the Presley suit claim that Suno has violated Tennessee's Ensuring Likeness Voice and Image Security (ELVIS) Act, which makes it illegal for an AI company to clone a singer's voice.
In the suit, lawyers representing Presley's rights holders argue that "Suno has mechanically encoded itself with artists' identities, hard-work, creativity, and time, and harnessed them all for …
发现频道:10款大家发现的好评软件[2026年第45期]
![发现频道:10款大家发现的好评软件[2026年第45期] 1 发现频道:10款大家发现的好评软件[2026年第45期] 1](https://static3cdn.appinn.com/images/2026/01/Copy-of-appinn-homework-16.jpg)
最近10日,来自小众软件论坛的发现频道的热门排行榜,由系统自动生成,直接列出来:
1⃣ SnowAir
链接:https://meta.appinn.net/t/95048
适用平台:Windows
一句话描述:Windows 上的截图工具很多,但大多要么体积不小、要么装一堆服务,要么把 OCR、录屏、贴图拆成好几个软件。
2⃣ Argus
链接:https://meta.appinn.net/t/95371
适用平台:Windows
一句话描述:Windows原生管理器的流畅美观替代,没有系统自带任务管理器启动慢、切页面卡顿的问题
3⃣ MDNote
链接:https://meta.appinn.net/t/95058
适用平台:Windows
一句话描述:打开像记事本一样快,不用记 Markdown 语法,直接以所见即所得的方式编写,保存的还是标准 .md 文件。
4⃣ 3z9wOpt(无名大叔系统优化工具箱)
链接:https://meta.appinn.net/t/95186
适用平台:Windows 10 22H2、11(64 位)
一句话描述:Windows 清理优化工具箱:清垃圾、优化系统、看磁盘占用、管启动项、读蓝屏原因,10 个模块 + 34 个系统小工具。
5⃣ Tomoru
链接:https://meta.appinn.net/t/95040
适用平台:Windows、macOS
一句话描述:为电脑上播放的声音提供实时双语字幕,同时支持截图翻译,语音识别和翻译模型均支持选择本地/云端。
6⃣ L1-Photo-Editor
链接:https://meta.appinn.net/t/95065
适用平台:Android+Web网页(PC+移动端已适配)
一句话描述:这是一款隐私优先的照片处理工具:图片仅在本地处理,不会保存在服务器,不上传、不收集、无水印、无需注册。
7⃣ Oxbow Player视频播放器,也许是最好用的mpv前端
链接:https://meta.appinn.net/t/95195
适用平台:Windows、Linux
一句话描述:https://www.bilibili.com/video/BV1nVxQ61EXn/
8⃣ AiCast(爱投屏)
链接:https://meta.appinn.net/t/95240
适用平台:Android(设备端、7.0+)、电脑端:AI 智能体。如:deepseek harness、workbuddy、openclaw、hermes、codex、Claude code等
一句话描述:手机、平板、安卓TV,局域网的AI互动屏
9⃣ Buddy
链接:https://meta.appinn.net/t/95213
适用平台:Android 11 及以上(仅 64 位)
一句话描述:安卓悬浮气泡 AI 助手。
AudioScript 声稿
链接:https://meta.appinn.net/t/95003
适用平台:Windows、macOS、Linux
一句话描述:监听电脑正在播放的声音,把外语视频、播客、会议实时转成「原文 + 译文」的双语悬浮字幕。识别和翻译都在本机完成,音频和文本不上传,也不需要注册账号。
上期回顾
相关阅读
- 小众软件 2023年度精选.2
- 小众软件 2023 年度精选.1
- 每日发现:即时翻译聊天、HDR 修图、兴趣社区、照片统一收集、聊天聚合等
- 每日发现:云收藏『勺子』、云算、硬盘女神、杰客等
- 每日发现:大法媒体工具、Mac 高仿 Win、AHK 输入法自动切换、校园直播、Windows 版的 Alfred 等等
©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南
3659b075e72a5b7b1b87ea74aa7932ff
点击这里留言、和原作者一起评论
AI会撞上的下一堵墙可能是水
(本文作者为 科技异端,钛媒体经授权发布)

谈论AI基础设施时,大多数人先想到的瓶颈就是:电力缺口。这场竞赛的资源叙事好像只有一个主角,然而很少有人意识到,水可能是一堵更快就会撞上的墙。
10月29日至31日,十如研究院主办的第十三届十如对话在桂林举行,近300位商、学、研、生态保育与艺术领域的嘉宾参与其中。这场从2014年起便在桂林举办的论坛活动是一个面向各领域意见领袖和专业人士的跨界交流平台,主题聚焦可持续发展的前沿理念和创新实践。创办以来,对话主题从文化、教育、科技创新,到城市规划、医疗健康、数字化转型都曾涉及。而今年的主题定为“以水为脉,互联共生”。
本届十如对话设了一个单独的分论坛,名为“水与智慧:见水知势”,讨论的正是AI基础设施建设与水的关系。论坛上,国际可持续发展研究院(IISD)高级研究员、中国环境与发展国际合作委员会(CCICED)外方首席顾问魏仲加指出,大量规划中的数据中心,恰恰坐落在水资源紧张的地区。CWR(中国水风险)创始人兼总监陈云华则补充了一个更难察觉的维度:各类水风险正以更快的速度演变,水是人们感受气候变化最直接的方式。
AI正在和人类抢水喝
算力中心为什么这么能喝水?先看散热。芯片几乎把吃进去的每一度电都变成热,而AI服务器机柜的功率密度已经从传统机柜的3—10千瓦,涨到了30—100千瓦。这种热量集中的速度,早已超出了风冷的搬运能力。而眼下最经济的散热介质就是水:让水蒸发,吸热带走热量。按水的汽化潜热约2260千焦/升折算,蒸发一升水大约能带走0.6千瓦时的热量,省下的电费立竿见影,而代价则是这升水从流域里彻底消失。
Rystad Energy预计全球数据中心冷却用水将从2025年的约2220亿升,涨到2030年的最高6440亿升。北京理工大学团队的预测模型给出了另一个刻度:到2030年,我国数据中心年耗水量将达2628.8亿升,约相当于19个西湖。
西湖的确很小,问题不在绝对数量,而在魏仲加指出的分布问题。据他在十如对话现场的发言,大量规划中的数据中心恰恰坐落在水资源紧张的地区;一座中型数据中心每天用水约100万升,大部分在冷却中蒸发,不再回到当地水系,而这些水往往与居民饮水、农田灌溉共用同一水源。
美国凤凰城-梅萨都会区已是除北弗吉尼亚外全美数据中心最密集的区域,96座主要数据中心里聚集着AWS、苹果、谷歌、微软和Meta。而亚利桑那正处在科罗拉多河流域1200年一遇的大旱中,2024年刚被联邦削减了51.2万英亩英尺的供水配额。
“星际之门”(Stargate)的旗舰园区落在得州阿比林:全园区约900兆瓦负荷,建成后将刷新“全球最大AI超算集群”的纪录。2025年9月,Altman到访现场,美联社的报道记下了两个细节:现场气温36摄氏度,而阿比林的居民,每周只被允许给草坪浇两次水。
国内的故事是同一个版本:乌兰察布人均水资源不足全国平均的四分之一,却聚集了超80座数据中心。
87%比35%
世界经济论坛的报告估计,全球约45%的数据中心设施位于高水压力地区。把选址模型摊开,缺水地区的优势一目了然。
第一是电:庆阳的绿电比东部便宜30%到50%,中东的光伏电价更是常年刷新全球最低纪录。对动辄数百兆瓦的算力园区而言,电价差是决定生存的因素。

第二是气候:低温干燥的环境意味着自然冷却的效果大幅提升,PUE(电能使用效率)压得极低,制冷的电费也可以大幅省掉。
第三是土地和政策:这些缺水地区大多人烟稀少、土地便宜、面积大、灾害风险低,再加上税收减免和招商绿灯,这类地区成了算力中心最偏好的选址。
而在这套选址模型里,水几乎没有权重。
同样出自世界经济论坛的调研:冷却方案怎么选,87%的运营商考虑省电,35%会考虑省水,行业的价值排序由此可见。惯性来自度量衡:电时代给行业留下了PUE这把尺子,而衡量水耗的WUE(水利用效率)进入决策视线的位次至今仍然靠后。
一座数据中心可以在电网允许的任何地方运行,电不够可以从远处调度、可以买绿电。但水没有替代品,取的是哪条河、哪片地下水系,就只能面对那里的水位。在水本就紧张的流域,出于“省电优先”的逻辑选择蒸发冷却,等于在拿当地最稀缺的资源,去换当地最廉价的资源。
世界经济论坛大中华区自然与气候议程负责人胡悦认为,在水资源稀缺的流域,资源的优先级判断应该倒过来——先保证少用水,再谈能效。十如研究院委员会主席李效良同样表示,如果在缺水地区缺乏水平衡与回补意识,供应链竞争力难以持久。
改善正在发生
智利圣地亚哥郊区Cerrillos,曾落地了一个谷歌2亿美元的数据中心项目。原冷却方案年耗水约70亿升,相当于当地约8万居民一年的用水。圣地亚哥彼时已连年干旱,2022年起限水。2024年2月,智利环境法院部分撤销项目许可,要求把气候变化对圣地亚哥含水层的影响纳入评估。同年9月,谷歌宣布暂停项目,将冷却系统改用风冷。
乌拉圭卡内洛内斯,另一个拟建数据中心项目的冷却塔每天需要约760万升饮用水,乌拉圭环境部给出的口径相当于5.5万人的日生活用水。项目审议正撞上这个国家约70年一遇的大旱,首都蒙得维的亚一度宣布用水紧急状态。这场审议的最后结局是:2024年7月,改造后的方案获批,规模缩至原计划的三分之一,水冷全面换成风冷。该项目2024年8月底动工,今年夏天工程已近收尾。
techUK与英国环境署的调查显示,英格兰过半数据中心已采用无水冷却,64%的站点年用水量低于1万立方米,堪比一座休闲中心。AWS、微软、Meta公布的WUE分别约为0.12、0.27、0.19升/千瓦时,比率在逐年改善。
而国内对算力中心耗水的重视程度也在同步提升。今年10月,最高层在乌兰察布考察时明确提出“算水协同”。地方细则随即落地,据《内蒙古日报》报道,乌兰察布算力中心生产用水严禁取用地下水作冷却水,当地只向数据中心供应限量中水。据央视网报道,优刻得等企业也将冷却系统改为抽室外冷风给服务器降温,按其披露口径,整体节水率超过92%。
追不上分母扩张
改善的是比率,扩张的是总量。微软和AWS在WUE改善的同期,总用水量仍在上升。Rystad Energy的预测数据中,全球数据中心冷却用水量五年内将增长近三倍。一条曲线在往下走,另一条在往上翻,但是后者的斜率更陡。
于是有观点认为,解法要往前挪:与其事后补救,不如在选址初期就把水列为核心考量指标。在本届十如对话上,胡悦引用世界经济论坛发布的关于可持续、有韧性的人工智能基础设施的行动指南,提出了四条设计原则:先减用水量;可行时优先使用雨水、再生水等非饮用水源;因地制宜权衡冷却中能源与水的取舍;建立衡量真正重要事项的指标。
这四条原则解决的是“怎么少用水”,但用掉的水还涉及补偿问题。陈云华给出一条原则:水从哪里取,就应该回补到哪里——即用掉多少,就得想办法还回去多少。麻烦在于“水正效益”这类回补目标至今没有统一的衡量标准,而数字孪生这样的新技术给这类问题提供了解决思路——对河流做数字化监测,掌握不同降雨条件下的水流状况,再据此调配水资源。
再往上一步,魏仲加谈到了整个系统的治理:水要按流域统筹,不能头痛医头、脚痛医脚,数据中心的用水量正应当被纳入这样的统一规划。他以中国的长江流域规划和海绵城市为例:把水当作相互关联的系统来治理,切实增强了气候韧性,为世界提供了有益借鉴。
这套从少用、到回补、再到系统治理的思路,在实际应用中也得到了印证。参与设计过怀来、中卫、乌兰察布多座数据中心冷却方案的工程师陈聪,在接受媒体采访时说过:“现在业内做数据中心方案,一定要看水从哪里来,用到哪里去。”
未来人们谈论AI基础设施,大多数人先想到的,大概仍然是电力缺口。但下一座数据中心能不能建成,水资源论证可能会从环评附录,挪到选址报告的前几章节。
更多精彩内容,关注钛媒体微信号(ID:taimeiti),或者下载钛媒体App
早报|曝特努斯要求加快AI研发/Win 11优化8GB内存电脑流畅度/马斯克:SpaceX明年12月年化营收或超5000亿美元

曝特努斯要求加快 AI 研发,推动 Siri 主动处理任务
苹果称超 10 万款应用已适配 iPhone Duo
英伟达 1140 万美元货物被盗
Anthropic 拟于本周启动 IPO 路演
马斯克:SpaceX 明年 12 月年化营收或超 5000 亿美元
Meta 首席战略官将离职,出任 Fireworks 首席财务官
比亚迪李柯回应玛莎拉蒂收购传闻
成都一男子戴 AI 眼镜考驾照作弊,现场演示多选题全错
中国移动启动 6G 智能应用共创行动,上海将办 6G 发展大会
上纬新材两款消费级机器人累计下线 1 万台
NASA 推进核动力月球车项目,目标 2028 年底发射
文远知行韩旭谈 Robotaxi 规模化,希望未来可从广州直达香港
SpaceX 公布星舰第 15 次试飞窗口,拟用发射塔接住两级火箭
亚马逊组建新团队开发家用机器人,招聘涉及家庭交互与售后
猫王权利方与 Eminem 音乐出版商分别起诉 Suno
腾讯姚顺雨谈大模型的壁垒:谁更懂用户,谁更值得托付
仰望首款行政旗舰轿车鼎曜在阿布扎比亮相
腾讯元宝搜索开放独立网页入口,支持 AI 问答和普通搜索
微软更新 Windows 11,优化 8G 内存电脑表现
腾讯游戏陪伴应用「鹅次元」开放首测
DaVinci Resolve 更新,支持触屏 MacBook Pro
太古可口可乐在进博会公布中国十年战略
4.8 万元,保时捷与 La Marzocco 推出 911 联名咖啡机
Wendy’s 推出像素 RPG,打赢首领有机会解锁餐食优惠
Take-Two CEO 谈《GTA 6》盗版风险:必要时会用法律和技术手段处理
宝可梦动画制作公司 OLM 展示 AI 上色工具
曝特努斯要求加快 AI 研发,推动 Siri 主动处理任务

据彭博社报道,苹果新任 CEO John Ternus 正推动软件负责人 Craig Federighi 在 AI 上采取更激进的路线,希望将 Siri 进一步改造为能自主完成任务的 AI 智能体。
彭博社记者 Mark Gurman 称,Ternus 近几周与 Federighi 举行了闭门会议,对苹果 AI 的推进速度不满,要求加快路线图,不要止步于对 Siri 的必要改进。
Ternus 在上周的首次财报电话会上表示,Siri 目前主要仍是基于请求的模式,但其基于编排器驱动的现代架构,为未来扩展能力留出了空间。
对于智能体能力,他称这是有前景的工具,但需要确保用户清楚自己授予了哪些权限,并保护安全和隐私。
Gurman 认为,Siri 与 ChatGPT Dots、Meta Muse 和 Grok 等仍有明显差距,后者可接手持续性任务、跨对话记忆并主动推送信息;苹果也尚未推出类似「计算机使用」的功能。他预计苹果最早可能在明年让 Siri 更接近智能体。
苹果称超 10 万款应用已适配 iPhone Duo

苹果在 11 月 6 日宣布,上市约两周的折叠屏 iPhone Duo 已有超过 10 万款应用完成优化。据 MacRumors 向苹果求证,这一数字指基于 iOS 27.1 SDK 或更高版本构建的应用,可铺满内外屏全宽,并将控件移至状态栏。
苹果此前在新闻稿提到,微博、爱奇艺、WPS Office、高德地图、小红书、淘宝和 Xmind 已针对 iPhone Duo 做了优化。
不过,仍有大量应用尚未适配。MacRumors 列出的未适配应用包括 Google 办公套件、Microsoft Teams、Steam、PayPal 和 YouTube Music,苹果自家的 Apple Store 应用也在其中。
适配程度分为三档:
- 用 iOS 27.1 SDK 构建的应用可铺满内外屏;
- 用 iOS 27 SDK 构建的应用可填满内屏大部分区域,但会避开右侧状态栏;
- 用 iOS 26 或更早 SDK 构建
Tech companies face mounting child safety lawsuits while pushing AI into schools
Kalshi’s claim to be a commodities trader is being rejected by courts

State courts have struck another blow against online prediction market Kalshi, which has sought to remain outside of gaming law, claiming it's a trading — not gambling — platform.
On Wednesday, a US District judge granted a preliminary injunction to California tribes, prohibiting Kalshi from offering sports contracts (AKA trades or "swaps") on tribal land. The ruling was handed down to the Blue Lake Rancheria and Chicken Ranch Rancheria of Me-Wuk Indians, which jointly sued Kalshi for allegedly violating the Indian Gaming Regulatory Act.
In that case, a panel of judges ruled that Kalshi's sports prediction trading constituted Class III gaming, which covers sports betting and parimutuel (pool) wagering. The court determined that regulations issued by the Commodity Futures Trading Commission (CFTC), which currently governs Kalshi, didn't preempt the Indian Gaming Regulatory Act.
That same day, Arkansas Attorney General Tim Griffin announced the state was suing the platform under the Deceptive Trade Practices Act for alleged illegal gambling operations.
"Kalshi is not blind that its platform presents real, tangible risks to its users, including excessive wagering, financial losses, depression, and other mental health harms," wrote Griffin in a press release. "It doesn’t take a genius to understand that wagering money on whether the Razorbacks win or lose is gambling. And gambling on an unregulated platform is squarely prohibited by Arkansas law."
Late last month, the state of Utah filed criminal charges against Kalshi and its two co-founders, Tarek Mansour and Luana Lopes Lara, accusing the company of violating state gambling prohibitions. The criminal case, which includes counts of unlawful activity, online gambling promotion, and general gambling promotion, followed a civil filing attempting to block Kalshi from advertising trades to Utah residents.
In September, a 6th US Circuit Court of Appeals panel ruled that Ohio and Tennessee could apply state gambling laws to Kalshi contracts. Similar to the California case, the panel determined the Commodities Exchange Act did not override state law. A month prior, Nevada was granted the right to ban the platform outright by a 9th Circuit panel.
The state of New York has also sued the platform for "unlicensed gambling." Both New York and Arkansas claim Kalshi violates state gambling age requirements, as well, allowing individuals as young as 18 to trade on the platform.
Kalshi, echoing competitors like Polymarket, has asserted that the platform's "swaps" are not bets and that it acts as a "designated contract market" trading in futures contracts and derivatives. The platform has sued states for attempting to regulate its operations.
States have pushed back on that framing and argue that online prediction markets, which let users risk money on outcomes outside traditional derivatives, are using the shield of federal oversight to skirt gaming laws that impose various bans, licenses, and taxes on online betting. Some cases have invoked Kalshi's own marketing language, including claims that the platform calls itself a betting site.
Kalshi's lawyers argue that the lack of traditional odds makes the platform's operation significantly different from gambling. Still, state courts have begun striking down Kalshi's claims, including a 2nd Circuit Court decision on Tuesday that denied the company's request for a preliminary injunction in New York and Connecticut cases.
Kalshi — advised by Donald Trump Jr. — has garnered the support of the federal government. As states continue to crack down on the prediction industry, federal agencies like the CFTC have filed a string of countersuits trying to bring states to heel.
European Commission advises TikTok to redesign FYP or risk fines

European regulators warn TikTok's "rabbit hole"-inducing FYP might be breaking EU law.
Preliminary findings from an investigation by the European Commission accuse the social media giant of failing to mitigate the potential mental health risks of its personalized algorithmic feed in violation of the Digital Services Act.
In particular, the regulatory body takes issue with the platform's "continuous stream of personalized videos" and the ways in which its algorithm determines user interest. Repeated interaction with triggering content, the report says, is interpreted as positive interest, leading to a "rabbit hole effect."
"This design can be harmful when such endless and repeated exposure involves, for example, content about sadness, isolation or body image," the Commission writes. "These ‘rabbit holes' can have a detrimental impact on users' mental health, especially that of vulnerable adults and minors."
The early findings urged TikTok redesign its For Your Page. "TikTok should rely more on users' explicit preferences, disable viewing time as an indicator to recommend content, increase the accessibility and usability of user controls, and regularly test its algorithm," advise regulators.
If TikTok fails to comply with the commission's final report and recommendations, the company may be fined up to 6 percent of its global revenue.
Studies of TikTok's content recommendation algorithm have found that the platform's content moderation and personalization options frequently fail to keep harmful content off of users' feeds. The company has previously been accused of knowingly proceeding with ineffective measures to reduce excessive screen time and harmful content, including the tendency of users to fall into "bubbles" of harmful content via their For Your Page.
This past week, TikTok, Meta, and Google each filed lawsuits against California attorney general Rob Banta, seeking to block a new state law that prohibits "addictive" and "psychologically exploitative" design features on social media platforms. Such features include infinite scroll, autoplay, and personalized recommendations.
Windows 画图曝出高危漏洞:无需用户操作,就可能遭到远程攻击|CVE-2026-83844
万万没想到,Windows 画图也会爆出安全漏洞。
近日,微软披露了通过官方商店安装的 Windows 画图程序的一项安全漏洞,编号为 CVE-2026-83844,CVSS 评分达到 8.1 分(高危)。
攻击者通过网络向受影响的电脑发送特制数据包,在无需用户点击、打开文件,也无需提前获得账户权限的情况下,远程执行恶意代码。
不过微软未公开具体的攻击方式,且明确该漏洞利用难度较高,需要满足特定条件,并非所有受影响的电脑都能被轻易攻击。

再次感谢 @Fiend_FEARing 同学的爆料。
画图怎么也能被黑客攻击?
根据微软的安全公告,这次漏洞出在画图程序的内存处理上,在读取数据时,可能错误访问了不该访问的内存区域,从而给攻击者留下可乘之机。
不过,这项漏洞并没有那么容易利用。微软将其攻击复杂度评为「高」,意味着攻击者需要满足特定条件,成功率也无法保证。
另外,目前微软尚未公开具体的攻击过程,包括究竟是哪个服务存在问题,以及画图没有运行时能否触发漏洞。
截至目前,也没有确认该漏洞已被用于实际攻击的公开证据。
哪些 Windows 用户受到影响?
这次漏洞主要涉及 Windows 11 中通过 Microsoft Store 分发的新版画图(Microsoft Paint)。
受影响的软件版本从 11.0.0.0 开始,修复版本为 11.2609.401.0。
| 系统或软件版本 | 影响情况 |
|---|---|
| Paint 低于 11.2609.401.0 | 建议更新 |
| Paint 11.2609.401.0 及以上 | 已包含安全修复 |
| Windows 10 经典画图 | 目前未被列为受影响产品 |
青小蛙的 Windows 11 上的画图,刚好就是 11.2609.401.0。
如何修复?
通过微软商店,将 Microsoft Paint 更新至 11.2609.401.0 或更高版本即可。

注意,画图是通过 Microsoft Store 独立更新的,不与系统同步更新。
青小蛙觉得,本次漏洞未透漏过多信息,但看措辞比较难以利用,综合评价:问题不大。
相关链接:
相关阅读
- 追了 22 年,Paint.NET 开发者终于夺回域名:不是买回来的
- PowerToys、Wintoys 等 70 多款 Windows 软件遭遇冒牌官网攻击
- PwnEscape:Linux 爆 9.3 分严重漏洞,一台 VPS 可能攻陷整台宿主机|CVE-2026-99999
- Paint.NET PSD Plugin – Paint.NET 也能编辑 PSD 文件
- 群晖两连更:几乎没人用功能,Telnetd 爆出两个 9.8 分 CVE 漏洞
©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南
3659b075e72a5b7b1b87ea74aa7932ff
点击这里留言、和原作者一起评论
QNAP 威联通发布警告:Plex2Shell 漏洞正被黑客利用,已有 NAS 疑似遭入侵
QNAP 威联通警告
黑客正在利用名为 Plex2Shell 的漏洞链攻击运行 Plex Media Server 的 NAS 设备。
11 月 6 日,QNAP 发布安全公告,黑客正在利用名为 Plex2Shell 的漏洞链攻击运行 Plex Media Server 的 NAS 设备,官方已经收到用户设备疑似遭入侵的报告。
注意:不止威联通,其他品牌 NAS,只要安装了 Plex Media Server,都有可能受到影响。
感谢 @soff 的提醒。

Plex2Shell 是什么?
Plex 是一款流行的个人媒体服务器软件,可以将 NAS 中的电影、电视剧、音乐等内容整理成媒体库,并通过电视、手机、电脑等设备播放。不少 NAS 用户会安装 Plex,并开启远程访问,以便在外面也能观看家里的影片。
Plex2Shell 是由四个安全漏洞组成的漏洞链:
- CVE-2026-96652
- CVE-2026-96654
- CVE-2026-96655
- CVE-2026-96656
攻击者可以组合利用这些漏洞,通过互联网访问,在不需要 Plex 账号密码的情况下,让服务器执行恶意程序。
需要说明的是,漏洞存在于 Plex Media Server,并非 QNAP 的 QTS 或 QuTS hero 系统本身。
已经有 NAS 遭到攻击
根据公开信息,Plex2Shell 漏洞利用代码于 10 月 16 日出现,随后针对暴露在互联网的 Plex 服务器的攻击开始增加。
已有受害服务器被攻击者用于运行加密货币挖矿程序和代理软件。
11 月 6 日,QNAP 发布公告,表示已经收到用户 NAS 疑似被攻陷的报告,并正在协助调查。
如何检查自己的 NAS?
首先,检查是否安装了 Plex Media Server。
如果安装了,请进入 QNAP 的 App Center → My Apps,查看 Plex Media Server 的版本。
| Plex Media Server 版本 | 状态 |
|---|---|
| 1.43.2 及更早版本 | 存在漏洞 |
| 1.43.3.10861 及以上 | 已修复相关漏洞 |
对于开启了外网访问的用户,建议走 Tailscale 类组网工具,或者设置访问白名单,以防万一。
青小蛙提醒
前面群晖的事情刚刚结束(群晖发布教程:保护 NAS 免受勒索软件攻击),这次 NAS 用户群使用率非常高的 Plex 软件又出问题,个人在面对如今的网络攻击时,似乎有些力不从心。
尤其,NAS 可以安装很多第三方程序,这就让 NAS 在系统安全之外,还需要考虑第三方程序安全性。
建议重新考虑是否要公开 NAS 公网访问这件事,方便归方便,但 NAS 安全性还是第一位的。谁家的 NAS 里没点自己的照片、视频什么的,或者辛苦很多年收集的资料。无论丢了坏了被勒索了,都不太好。
相关链接
相关阅读
- 安全提醒:Plex 遭黑客攻击,AOMEI 两款软件更新渠道被劫持
- 我的服务器在哪儿?在群晖里折腾 Plex Media Server 媒体播放中心
- 为 iTerm2 Buddy 自托管中继服务器,加速手机连接 Mac 终端速度
- 群晖 DSM 7.2.2 更新,不再支持 Video Station 套件|替代品如何选择?
- UEFI 爆出固件漏洞:影响 PXE 网络启动,评分 9.5,已存在 16 年|CVE-2026-97631
©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南
3659b075e72a5b7b1b87ea74aa7932ff
点击这里留言、和原作者一起评论
Gemini被指协助13岁女孩制定轻生计划 Google遭家长起诉
11月6日,据路透社报道,一名美国女孩的家长已起诉Google及其母公司Alphabet,指控13岁的女儿通过学校配发的Chromebook使用Gemini,并在持续数月的对话中制定轻生及葬礼计划。诉状称,Gemini未能及时将女孩引导至现实中的援助渠道,还曾帮助她隐瞒自身的心理状态。
阅读全文
美国男子起诉OpenAI:ChatGPT涉嫌教妻子如何毒杀自己
据Ars Technica报道,一份本周公开的诉讼文件称,ChatGPT被指在数月中逐步生成“个性化方案”,帮助北卡罗来纳州女子谢丽尔·盖茨(Cheryl Gates)策划毒杀丈夫詹姆斯·盖茨(James Gates)。詹姆斯同时指控OpenAI及其CEO萨姆·奥尔特曼(Sam Altman)未设置足够技术防护,阻止相关对话。
阅读全文
3M同意支付73.5亿美元和解PFAS诉讼 超11万名原告有望获赔
美国工业巨头3M宣布,将在未来九年投入约73.5亿美元,用于解决与PFAS化学物质相关的大规模人身伤害诉讼。这项和解协议预计覆盖约99%的现有相关索赔案件,符合参与条件的原告人数约为11.5万至12万人。
阅读全文