Synology 將 PHP2Shell 安全性更新延伸至已終止支援的 DSM 版本

此新聞稿已於 2026 年 10 月 28 日更新，新增 DSM 7.0 和 DSM 7.1 的 PHP 安全性更新；並於 2026 年 10 月 29 日進一步更新，新增 DSM 6.2。

台灣台北 – 2026 年 10 月 22 日 — 經過詳盡調查後，Synology 產品安全性事件回應小組 (PSIRT) 已確認，近期揭露的 PHP2Shell 漏洞 (CVE-2026-109618 和 CVE-2026-109619) 的影響僅限於執行特定 PHP 相依套件的系統。受影響的套件包括 Calendar、IDrive1、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station 及 WordPress。

Synology 已針對 DiskStation Manager (DSM) 7.4 和 DSM 7.3，以及已終止生命週期的 DSM 7.2、DSM 7.1、DSM 7.0 和 DSM 6.2 發佈 PHP 安全性更新。強烈建議受影響套件的使用者立即透過套件中心更新 PHP。PHP 更新完成後，相依套件會自動重新啟動2，且漏洞也會獲得修正。對於執行 6.2 之前 DSM 版本的系統，Synology 建議在更新至受支援的 DSM 版本前，暫時停用受影響的套件，以降低風險。

DSM 也包含供系統內部使用的 PHP 元件。根據架構設計，此元件不包含任何可從外部存取的模組，因此沒有暴露的攻擊面。Synology PSIRT 評估風險極低，並已安排在後續 DSM 版本中提供修補程式，以確保漏洞掃描結果和合規狀態一致。

如需更多詳細資訊及最新更新，請參閱 Synology 產品安全性諮詢 Synology-SA-26:14。

^{1. IDrive 是第三方套件，Synology Drive 不受 PHP2Shell 影響。}

^{2. MailStation 需要透過套件中心手動更新。}