PHP2Shell 脆弱性に関する Synology の声明

この声明は、DSM 7.1 および DSM 7.0 向けの PHP セキュリティアップデートと、DSM 6.2 向けに予定されているパッチを含めるため、2026 年 10 月 28 日に更新されました。

台湾・台北 – 2026 年 10 月 22 日 — 詳細な調査の結果、Synology 製品セキュリティインシデント対応チーム（PSIRT）は、最近公表された PHP2Shell の脆弱性（CVE-2026-109618 および CVE-2026-109619）の影響が、特定の PHP 依存パッケージを実行しているシステムに限定されることを確認しました。影響を受けるパッケージは、Calendar、IDrive¹、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station、WordPress です。

Synology は、DiskStation Manager（DSM）7.4 および DSM 7.3、ならびにサポート終了となった DSM 7.2、DSM 7.1、DSM 7.0 向けに PHP セキュリティアップデートをリリースしました。DSM 6.2 向けのパッチは 2026 年 10 月 29 日に予定されています。影響を受けるパッケージのユーザーは、直ちにパッケージ センターから PHP をアップデートすることを強く推奨します。PHP のアップデートが完了すると、依存パッケージは自動的に再起動²し、脆弱性が解消されます。6.2 より前の DSM バージョンを実行しているシステムについては、サポート対象の DSM バージョンにアップデートする前に、リスクを軽減するため影響を受けるパッケージを一時的に無効にすることを Synology は推奨します。

DSM には、システム内部で使用する PHP コンポーネントも含まれています。アーキテクチャ設計上、このコンポーネントには外部からアクセス可能なモジュールが含まれていないため、外部に露出した攻撃対象領域はありません。Synology PSIRT はリスクを最小限と評価し、脆弱性スキャン結果とコンプライアンス ステータスの一貫性を確保するため、後続の DSM リリース向けにパッチを予定しています。

詳細および最新のアップデートについては、Synology セキュリティ勧告 Synology-SA-26:14を参照してください。

^{1. IDrive はサードパーティ パッケージです。Synology Drive は PHP2Shell の影響を受けません。}

^{2. MailStation では、パッケージ センターから手動でアップデートする必要があります。}