Synologyjeva skupina za odzivanje na varnostne incidente (PSIRT) je po temeljiti preiskavi potrdila, da je vpliv nedavno razkritih ranljivosti PHP2Shell (CVE-2026-109618 in CVE-2026-109619) omejen na sisteme, ki uporabljajo določene pakete, odvisne od PHP. Prizadeti so paketi Calendar, IDrive¹, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station in WordPress.
Synology je izdal varnostne posodobitve PHP za operacijska sistema DiskStation Manager (DSM) 7.4 in DSM 7.3 ter za različice DSM 7.2, DSM 7.1, DSM 7.0 in DSM 6.2, katerih življenjski cikel podpore se je že zaključil.
Uporabnikom prizadetih paketov močno priporoča, da PHP nemudoma posodobijo prek središča za pakete (Package Center). Po končani posodobitvi PHP se odvisni paketi samodejno znova zaženejo², s čimer so ranljivosti odpravljene. Uporabnikom sistemov z različicami DSM, starejšimi od 6.2, Synology priporoča, da prizadete pakete začasno onemogočijo in tako zmanjšajo tveganje, dokler sistema ne nadgradijo na podprto različico DSM.
DSM vključuje tudi komponento PHP za notranje delovanje sistema. Ta je arhitekturno zasnovana tako, da ne vsebuje modulov, dostopnih od zunaj, zato ne predstavlja izpostavljene površine za napade. Synologyjeva skupina PSIRT je tveganje ocenila kot minimalno in načrtovala popravek v eni od naslednjih izdaj DSM, da bi zagotovila dosledne rezultate pregledov ranljivosti in ustrezno stanje skladnosti z varnostnimi zahtevami.
Za dodatne informacije in najnovejše posodobitve obiščite Synologyjevo varnostno obvestilo Synology-SA-26:14.
¹ IDrive je paket neodvisnega ponudnika. Ranljivosti PHP2Shell ne vplivajo na Synology Drive.
² Paket MailStation zahteva ročno posodobitev prek središča za pakete (Package Center).
