Чего нам стоит репутация или пользовательский фикс для CVE-2018-18472 от NAS WD

Очевидно, что именно у него баланс никакой

Попробуйте opendrive.com. У них персональный тариф 99$ в год, и по их условиям он рассчитан на объём хранения около 10 TB (после чего они начинают зарезать скорость). Он конечно немного тормозной и родной клиент у них так себе, но для долговременного хранения нормально, и rclone решает проблему с клиентом. Тот же rclone позволяет дополнительно при загрузке файлов шифровать их собственным ключом, который не улетает на сервер.

Можно бэкапить на разные HDD, и хранить их в разных местах, с ротацией.

Ну и облачное хранилище я бы не отметал по причине ширины канала. У меня 0.5 mbit/s (да, пол-мегабита), свои 300 GB пришлось закачивать больше недели, зато теперь есть инкрементально обновляемый бэкап (через restic). Цена вопроса – $5/месяц.

LTO-4 стоит относительно недорого

Купить LTO драйв, предыдущих поколений и картриджи к нему. Холодные бэкапы, на картриджах, хранить в другом, по отношению к NAS, месте (банковская ячейка, квартира подруги etc).

У меня аналогичная ситуация - RAID1 для всего дорого душе и сердцу. Для бэкапа периодически просто делаю rsync на диск, 90% времени лежащий в ящике стола. Причем сам файловый сервер стоит у родителей, а ящик стола с диском находится у меня в квартире. Диск на 4 ТБ, пока хватает, но в случае нехватки, думаю, совсем неразорительно купить просто три диска на нужный объем и собрать новую конфигурацию RAID1+оффлайн диск.

Родственников нет, которым можно отдать на хранение шифрованный жесткий диск?

Тогда ячейка в банке.

Насколько я понял - облако не рассматривается, а то бы предложил Microsoft 365 для семьи. 6 аккаунтов по по терабайту в OneDrive, менеджмент данных через rclone.

Используйте backblaze b2. В этом облаке цены что-то типа 1 цент за гигабайт. А недавно ещё появился S3 интерфейс. Так что возможно ваш NAS может сам автоматом делать бекап в это облако.

В Амазон можно отослать физический диск и они его зальют в S3/Glacier

Т.е. пользователи сами в браузерах открывали какие-то ресурсы, где были вредоносные вызовы API? В этом случае понятно как доступ в сеть, где диск, получился.
Но что за сайты все начали массово открывать, что в один день у всех проблемы?

Или я неправильно всё понял?

У QNAP/Synology своих дыр/проблем хватает.

Лежит тут

/var/www/rest-api/api/Util/includes/exec.php

function exec_runtime( $command, &$output = null, &$return_var = null, $escapeCmd = true) {

        global $metachars;

        if ($escapeCmd) {
                //escape shell meta-characters to prevent command injection

                $command = escapeshellcmd($command);

                //escapeshellcmd escapes meta characters within single quotes, we need to remove the backslashes
                //in this case to preserve the original quoted text.

                $quoteCtr = 0;
                if (strpos($command, "'") !== FALSE) {

                        $commandArr = str_split($command);
                        $commandLen = sizeof($commandArr);
                        for ($idx = 0; $idx < $commandLen;  $idx++) {
                                $char = $commandArr[$idx];
                                if ($char === '\'') {
                                        if (!$quoteCtr) {
                                                //start of quoted string
                                                ++$quoteCtr;
                                        }
                                        else if ($quoteCtr) {
                                                //end of quoted string
                                                --$quoteCtr;
                                        }
                                        //remove escape before quote
                                        if ($idx > 0 && $commandArr[$idx-1] == '\\') {
                                                unset($commandArr[$idx-1]);
                                        }
                                }
                                if ($quoteCtr && $char == '\\') {
                                        //remove backslash within quotes only if it preceeds a meta-character
                                        if (($idx +1) < $commandLen) {
                                                //backslash is not at end of command string
                                                if (in_array($commandArr[$idx+1], $metachars)) {
                                                        //char after back-slash is a meta-character. so remove the backslash
                                                        unset($commandArr[$idx]);
                                                }
                                        }
                                }
                        }
                        $command = implode($commandArr);
                }

                //close out single quotes to prevent command injection using an un-terminated quoted string
                if ($quoteCtr) {
                        $command = $command . "'";
                }
        }

    $output = $return_var = null; // $output is getting concatenated.... $return_var for good measure.
    $start = microtime(true);
    $return = exec($command, $output, $return_var);
        $totalTime = microtime(true) - $start;

    \Core\Logger::getInstance()->addCommand($command, $output, $totalTime);

        return $return;
}