Synology 将 PHP2Shell 安全更新扩展至已停止维护的 DSM 版本

本新闻稿已于 2026 年 10 月 28 日更新，加入 DSM 7.0 和 DSM 7.1 的 PHP 安全更新，并于 2026 年 10 月 29 日进一步更新，加入 DSM 6.2。

中国上海 – 2026 年 10 月 22 日 — 经过全面调查，Synology 产品安全事件响应团队 (PSIRT) 已确认，近期披露的 PHP2Shell 漏洞 (CVE-2026-109618 和 CVE-2026-109619) 的影响范围局限于运行特定 PHP 依赖套件的系统。受影响的套件包括 Calendar、IDrive1、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station 和 WordPress。

Synology 已针对 DiskStation Manager (DSM) 7.4 和 DSM 7.3，以及已停止生命周期支持的 DSM 7.2、DSM 7.1、DSM 7.0 和 DSM 6.2 发布 PHP 安全更新。强烈建议受影响套件的用户立即通过套件中心更新 PHP。PHP 更新完成后，依赖套件会自动重启2，漏洞也将得到修复。对于运行 DSM 6.2 之前版本的系统，Synology 建议在更新至受支持的 DSM 版本前，暂时停用受影响的套件，以降低风险。

DSM 还包含供系统内部使用的 PHP 组件。根据架构设计，该组件不包含可从外部访问的模块，因此不存在暴露的攻击面。Synology PSIRT 已评估该风险非常低，并安排在后续 DSM 版本中发布修补程序，以确保漏洞扫描结果和合规状态保持一致。

如需了解更多详情和后续动态，请参阅 Synology 产品安全公告 Synology-SA-26:14。

^{1. IDrive 是第三方套件，Synology Drive 不受 PHP2Shell 影响。}

^{2. MailStation 需要通过套件中心手动更新。}