Synology erweitert Sicherheitsupdates für PHP2Shell auf DSM-Versionen mit erreichtem Supportende

Diese Pressemitteilung wurde am 28. Oktober 2026 aktualisiert, um PHP-Sicherheitsupdates für DSM 7.0 und DSM 7.1 aufzunehmen, und am 29. Oktober 2026 erneut aktualisiert, um DSM 6.2 aufzunehmen.

TAIPEI, Taiwan – 22. Oktober 2026 — Nach einer gründlichen Untersuchung hat das Synology Product Security Incident Response Team (PSIRT) bestätigt, dass die Auswirkungen der kürzlich offengelegten PHP2Shell-Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) auf Systeme beschränkt sind, auf denen bestimmte PHP-abhängige Pakete ausgeführt werden. Zu den betroffenen Paketen gehören Calendar, IDrive1, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station und WordPress.

Synology hat PHP-Sicherheitsupdates für den DiskStation Manager (DSM) 7.4 und DSM 7.3 sowie für die nicht mehr unterstützten Versionen DSM 7.2, DSM 7.1, DSM 7.0 und DSM 6.2 veröffentlicht. Benutzern der betroffenen Pakete wird dringend empfohlen, PHP umgehend über das Paket-Zentrum zu aktualisieren. Sobald die PHP-Aktualisierung abgeschlossen ist, werden abhängige Pakete automatisch neu gestartet2 und die Sicherheitslücken behoben. Für Systeme mit DSM-Versionen vor 6.2 empfiehlt Synology, die betroffenen Pakete vorübergehend zu deaktivieren, um das Risiko zu verringern, bevor ein Update auf eine unterstützte DSM-Version durchgeführt wird.

DSM enthält außerdem eine PHP-Komponente zur internen Systemverwendung. Aufgrund ihrer Architektur umfasst diese Komponente keine extern zugänglichen Module und verfügt daher über keine exponierte Angriffsfläche. Synology PSIRT hat das Risiko als minimal eingestuft und einen Patch für eine nachfolgende DSM-Version eingeplant, um konsistente Ergebnisse bei Schwachstellenscans und einen einheitlichen Compliance-Status zu gewährleisten.

Weitere Informationen und die neuesten Updates finden Sie in der Synology-Sicherheitsanweisung Synology-SA-26:14.

^{1. IDrive ist ein Paket eines Drittanbieters; Synology Drive ist von PHP2Shell nicht betroffen.}

^{2. MailStation erfordert eine manuelle Aktualisierung über das Paket-Zentrum.}