Stanowisko Synology w sprawie luk bezpieczeństwa PHP2Shell
Data dodania: 26-10-2026
Przejdź do strony głównej
Synology udostępniło aktualizacje zabezpieczeń PHP dla systemów DiskStation Manager (DSM) w wersjach 7.4, 7.3 oraz 7.2 (wersja, której wsparcie techniczne dobiegło końca).
Po przeprowadzeniu szczegółowej analizy zespół Synology ds. reagowania na incydenty bezpieczeństwa produktów (PSIRT) potwierdził, że niedawno ujawnione luki bezpieczeństwa PHP2Shell (CVE-2026-109618 i CVE-2026-109619) dotyczą wyłącznie systemów korzystających z określonych pakietów zależnych od PHP. Podatne na ataki pakiety to Calendar, IDrive¹, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station oraz WordPress.
Synology udostępniło aktualizacje zabezpieczeń PHP dla systemów DiskStation Manager (DSM) w wersjach 7.4, 7.3 oraz 7.2 (wersja, której wsparcie techniczne dobiegło końca). Użytkownikom korzystającym z wymienionych pakietów zdecydowanie zaleca się niezwłoczne zaktualizowanie PHP za pośrednictwem Centrum pakietów. Po zakończeniu aktualizacji PHP zależne od niego pakiety zostaną automatycznie uruchomione ponownie², a luki bezpieczeństwa zostaną wyeliminowane. W przypadku systemów z wersjami DSM starszymi niż 7.2 Synology zaleca tymczasowe wyłączenie pakietów, których dotyczy problem, aby ograniczyć ryzyko do czasu aktualizacji systemu do wersji zawierającej odpowiednie poprawki bezpieczeństwa.
DSM zawiera również komponent PHP wykorzystywany na potrzeby wewnętrznych procesów systemowych. Ze względu na swoją architekturę komponent ten nie udostępnia żadnych modułów dostępnych z zewnątrz, a tym samym nie stanowi potencjalnego punktu ataku. Zespół Synology PSIRT ocenił związane z nim ryzyko jako minimalne i zaplanował wdrożenie poprawki w jednej z kolejnych wersji DSM, aby zapewnić spójność wyników skanowania pod kątem luk bezpieczeństwa oraz statusu zgodności z wymaganiami bezpieczeństwa.
Więcej informacji oraz najnowsze aktualizacje można znaleźć w komunikacie bezpieczeństwa Synology-SA-26:14.
¹ IDrive jest pakietem firmy zewnętrznej. Luki bezpieczeństwa PHP2Shell nie dotyczą Synology Drive.
² Pakiet MailStation wymaga ręcznej aktualizacji za pośrednictwem Centrum pakietów.
Synology udostępniło aktualizacje zabezpieczeń PHP dla systemów DiskStation Manager (DSM) w wersjach 7.4, 7.3 oraz 7.2 (wersja, której wsparcie techniczne dobiegło końca). Użytkownikom korzystającym z wymienionych pakietów zdecydowanie zaleca się niezwłoczne zaktualizowanie PHP za pośrednictwem Centrum pakietów. Po zakończeniu aktualizacji PHP zależne od niego pakiety zostaną automatycznie uruchomione ponownie², a luki bezpieczeństwa zostaną wyeliminowane. W przypadku systemów z wersjami DSM starszymi niż 7.2 Synology zaleca tymczasowe wyłączenie pakietów, których dotyczy problem, aby ograniczyć ryzyko do czasu aktualizacji systemu do wersji zawierającej odpowiednie poprawki bezpieczeństwa.
DSM zawiera również komponent PHP wykorzystywany na potrzeby wewnętrznych procesów systemowych. Ze względu na swoją architekturę komponent ten nie udostępnia żadnych modułów dostępnych z zewnątrz, a tym samym nie stanowi potencjalnego punktu ataku. Zespół Synology PSIRT ocenił związane z nim ryzyko jako minimalne i zaplanował wdrożenie poprawki w jednej z kolejnych wersji DSM, aby zapewnić spójność wyników skanowania pod kątem luk bezpieczeństwa oraz statusu zgodności z wymaganiami bezpieczeństwa.
Więcej informacji oraz najnowsze aktualizacje można znaleźć w komunikacie bezpieczeństwa Synology-SA-26:14.
¹ IDrive jest pakietem firmy zewnętrznej. Luki bezpieczeństwa PHP2Shell nie dotyczą Synology Drive.
² Pakiet MailStation wymaga ręcznej aktualizacji za pośrednictwem Centrum pakietów.
Przejdź do strony głównej