Synology®, PHP2Shell 보안 업데이트를 지원 종료된 DSM 버전까지 확대

본 보도자료는 DSM 7.0 및 DSM 7.1용 PHP 보안 업데이트 배포 내용을 반영해 2026년 10월 28일 수정됐으며, 10월 29일 DSM 6.2용 보안 업데이트 내용을 추가로 반영했다.

2026년 10월 22일 — Synology 제품 보안 사고 대응팀(PSIRT)은 정밀 조사 결과, 최근 공개된 PHP2Shell 취약점(CVE-2026-109618 및 CVE-2026-109619)이 특정 PHP 의존성 패키지를 실행하는 시스템에만 영향을 미치는 것으로 확인했다고 밝혔다. 영향을 받는 패키지는 Calendar, IDrive¹, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station 및 WordPress다.

Synology는 DiskStation Manager(DSM) 7.4와 DSM 7.3을 비롯해 지원이 종료된 DSM 7.2, DSM 7.1, DSM 7.0 및 DSM 6.2를 대상으로 PHP 보안 업데이트를 배포했다. 해당 패키지를 사용하는 고객은 패키지 센터(Package Center)를 통해 즉시 PHP를 업데이트할 것을 강력히 권고한다. PHP 업데이트가 완료되면 관련 패키지가 자동으로 재시작되며², 해당 취약점이 해결된다. DSM 6.2 이전 버전을 사용하는 경우, 지원되는 DSM 버전으로 업데이트하기 전까지 영향을 받는 패키지를 일시적으로 비활성화해 보안 위험을 최소화할 것을 권장한다.

한편, DSM에는 시스템 내부에서 사용하는 PHP 구성 요소도 포함돼 있다. 해당 구성 요소는 설계상 외부에서 접근할 수 있는 모듈이 없어 외부에 노출되는 공격 표면이 존재하지 않는다. Synology PSIRT는 이에 따른 보안 위험이 매우 낮은 것으로 평가했으며, 취약점 검사 결과의 일관성과 보안 규정 준수 상태를 확보하기 위해 향후 DSM 업데이트에서 관련 패치를 제공할 예정이다.

자세한 내용과 최신 업데이트는 Synology 보안 권고문 Synology-SA-26:14에서 확인할 수 있다.

^{1. IDrive는 타사 패키지이며 Synology Drive는 PHP2Shell의 영향을 받지 않는다.}

^{2. MailStation은 패키지 센터를 통해 수동으로 업데이트해야 한다.}