Synology rozšiřuje bezpečnostní aktualizace PHP2Shell na verze DSM s ukončenou podporou

Tato tisková zpráva byla aktualizována 28. října 2026, aby zahrnovala aktualizace zabezpečení PHP pro DSM 7.0 a DSM 7.1, a dále aktualizována 29. října 2026, aby zahrnovala DSM 6.2.

TAIPEI, Tchaj-wan – 22. října 2026 — Po důkladném šetření tým Synology pro reakci na bezpečnostní incidenty produktů (PSIRT) potvrdil, že dopad nedávno zveřejněných zranitelností PHP2Shell (CVE-2026-109618 a CVE-2026-109619) je omezen na systémy s určitými balíčky závislými na PHP. Jedná se o balíčky Calendar, IDrive1, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station a WordPress.

Společnost Synology vydala aktualizace zabezpečení PHP pro DiskStation Manager (DSM) 7.4 a DSM 7.3, stejně jako pro DSM 7.2, DSM 7.1, DSM 7.0 a DSM 6.2, jejichž životní cyklus skončil. Uživatelům dotčených balíčků důrazně doporučujeme, aby okamžitě aktualizovali PHP prostřednictvím Centra balíčků. Po dokončení aktualizace PHP se závislé balíčky automaticky restartují2 a zranitelnosti budou vyřešeny. U systémů s verzemi DSM staršími než 6.2 společnost Synology doporučuje dočasně deaktivovat dotčené balíčky, aby se zmírnilo riziko, a teprve poté aktualizovat na podporovanou verzi DSM.

DSM obsahuje také komponentu PHP pro interní použití systému. Tato komponenta podle svého architektonického návrhu neobsahuje žádné externě přístupné moduly, a proto nemá vystavenou útočnou plochu. Tým Synology PSIRT vyhodnotil riziko jako minimální a naplánoval opravu pro některou z následujících verzí DSM, aby byly zajištěny konzistentní výsledky kontroly zranitelností a stav souladu.

Další podrobnosti a nejnovější aktualizace najdete v bezpečnostním upozornění Synology Synology-SA-26:14.

1. IDrive je balíček třetí strany, služba Synology Drive není zranitelností PHP2Shell ovlivněna.

2. MailStation vyžaduje ruční aktualizaci prostřednictvím Centra balíčků.