Synology extiende las actualizaciones de seguridad de PHP2Shell a las versiones de DSM al final de su vida útil

Este comunicado de prensa se actualizó el 28 de octubre de 2026 para incluir actualizaciones de seguridad de PHP para DSM 7.0 y DSM 7.1, y se volvió a actualizar el 29 de octubre de 2026 para incluir DSM 6.2.

TAIPÉI (Taiwán), 22 de octubre de 2026 — Tras una investigación exhaustiva, el equipo de respuesta ante incidentes de seguridad de productos de Synology (PSIRT) ha confirmado que el impacto de las vulnerabilidades PHP2Shell divulgadas recientemente (CVE-2026-109618 y CVE-2026-109619) se limita a los sistemas que ejecutan determinados paquetes que dependen de PHP. Los paquetes afectados son Calendar, IDrive1, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station y WordPress.

Synology ha publicado actualizaciones de seguridad de PHP para DiskStation Manager (DSM) 7.4 y DSM 7.3, así como para las versiones al final de su vida útil DSM 7.2, DSM 7.1, DSM 7.0 y DSM 6.2. Se recomienda encarecidamente a los usuarios de los paquetes afectados que actualicen PHP inmediatamente a través del Centro de paquetes. Una vez completada la actualización de PHP, los paquetes dependientes se reinician automáticamente2 y las vulnerabilidades quedan resueltas. En los sistemas que ejecutan versiones de DSM anteriores a la 6.2, Synology recomienda deshabilitar temporalmente los paquetes afectados para mitigar el riesgo antes de actualizar a una versión compatible de DSM.

DSM también contiene un componente PHP para uso interno del sistema. Por diseño arquitectónico, este componente no incluye módulos accesibles externamente y, por lo tanto, no tiene una superficie de ataque expuesta. El PSIRT de Synology ha evaluado el riesgo como mínimo y ha programado un parche para una versión posterior de DSM, a fin de garantizar resultados coherentes en los análisis de vulnerabilidades y el estado de cumplimiento.

Para obtener más información y consultar las últimas actualizaciones, consulte el aviso de seguridad de Synology Synology-SA-26:14.

^{1. IDrive es un paquete de terceros; Synology Drive no se ve afectado por PHP2Shell.}

^{2. MailStation requiere una actualización manual a través del Centro de paquetes.}