Synology、サポート終了のDSMバージョンにもPHP2Shellのセキュリティアップデートを拡張

このプレスリリースは、DSM 7.0 および DSM 7.1 向けの PHP セキュリティアップデートを含めるため 2026 年 10 月 28 日に更新され、さらに DSM 6.2 を含めるため 2026 年 10 月 29 日に更新されました。

東京、日本 – 2026 年 10 月 22 日 — 徹底的な調査の結果、Synology 製品セキュリティインシデント対応チーム（PSIRT）は、先日公表された PHP2Shell の脆弱性（CVE-2026-109618 および CVE-2026-109619）の影響が、特定の PHP 依存パッケージを実行しているシステムに限定されていることを確認しました。影響を受けるパッケージは、Calendar、IDrive¹、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station、および WordPress です。

Synology は、DiskStation Manager（DSM）7.4 および DSM 7.3 に加え、サポート終了となった DSM 7.2、DSM 7.1、DSM 7.0、DSM 6.2 向けに PHP セキュリティアップデートをリリースしました。影響を受けるパッケージのユーザーは、直ちにパッケージ センターから PHP を更新することを強く推奨いたします。PHP の更新が完了すると、依存パッケージは自動的に再起動²し、脆弱性が解消されます。6.2 より前の DSM バージョンを実行しているシステムについては、サポート対象の DSM バージョンに更新する前に、リスクを軽減するため影響を受けるパッケージを一時的に無効にすることを推奨いたします。

DSM には、システム内部で使用する PHP コンポーネントも含まれています。アーキテクチャ上の設計により、このコンポーネントには外部からアクセス可能なモジュールが含まれていないため、外部に公開された攻撃対象領域はありません。Synology PSIRT はリスクを最小限と評価し、脆弱性スキャン結果とコンプライアンス ステータスの一貫性を確保するため、後続の DSM リリースでパッチを提供する予定です。

詳細および最新の更新については、Synology セキュリティ勧告 Synology-SA-26:14をご確認ください。

^{1. IDrive はサードパーティ パッケージです。Synology Drive は PHP2Shell の影響を受けません。}

^{2. MailStation は、パッケージ センターからの手動更新が必要です。}