Synology 关于 PHP2Shell 漏洞的安全更新说明

中国上海 — 2026 年 10 月 22 日 — 经调查，Synology 产品安全事件响应团队 (PSIRT) 确认，近期披露的 PHP2Shell 漏洞（CVE-2026-109618 和 CVE-2026-109619）的影响仅限于运行特定 PHP 依赖套件的系统。受影响的套件包括 Calendar、IDrive¹、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station 和 WordPress。

Synology 已针对 DiskStation Manager (DSM) 7.4、DSM 7.3 和 DSM 7.2（已停止支持）发布 PHP 安全更新。强烈建议受影响套件的用户立即通过套件中心更新 PHP。PHP 更新完成后，相关依赖套件将自动重启²，漏洞也会随之修正。对于运行早于 7.2 版本 DSM 的系统，Synology 建议在更新至修补版本前暂时停用受影响的套件，以降低风险。

DSM 也包含供系统内部使用的 PHP 组件。根据架构设计，此组件不包含可从外部访问的模块，因此没有暴露的攻击面。Synology PSIRT 团队评估风险极低，并安排在后续 DSM 版本中发布修补程序，确保漏洞扫描结果和合规状态保持一致。

如需进一步了解详情和最新信息，请阅读 Synology 安全公告 Synology-SA-26:14。

1. IDrive 是第三方套件。Synology Drive 不受 PHP2Shell 影响。
2. MailStation 需要通过套件中心手动更新。