Synology SA-26:14: Kerentanan PHP kritis di Calendar, Mail Station

Synology telah mendeklarasikan kerentanan keamanan kritis yang mempengaruhi beberapa produk dan versi PHP di DSM. Penyerang jarak jauh dapat menjalankan kode arbitrer di sistem yang rentan. Jika Anda menjalankan Synology Calendar, Mail Station, atau versi PHP tertentu, Anda perlu memeriksa versi perangkat lunak Anda dan memperbarui sekarang.

Apa itu kerentanan PHP2Shell?

Synology mengatakan masalah ini berasal dari dua cacat dalam cara PHP mengelola memori ketika kesalahan kehabisan memori terjadi. Dalam kedua kasus, memori permintaan dapat tetap dalam keadaan yang tidak dapat diprediksi dan diakses oleh permintaan berikutnya. Penyerang dapat memanfaatkan ini untuk menjalankan kode arbitrer di NAS Anda dari jaringan, tanpa perlu masuk atau berinteraksi dengan pengguna.

Synology menilai ini sebagai kerentanan kritis (skor CVSS 9,8).

Produk Synology mana yang terpengaruh?

Synology mengatakan Hyper Backup tidak terpengaruh. Paket berikut rentan:

• Synology Calendar (semua versi di bawah 3.0.4-21435)
• Mail Station (semua versi di bawah 30000002.3.19-20333)
• PHP 7.3, PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3, dan PHP 8.4

Synology mencatat bahwa PHP 7.3 telah mencapai akhir kehidupan dan tidak akan menerima perbaikan.

Apa yang harus Anda lakukan sekarang?

Mulai dengan memeriksa versi mana yang saat ini dipasang di NAS Anda:

• Untuk Calendar: tingkatkan ke versi 3.0.4-21435 atau lebih tinggi
• Untuk Mail Station: tingkatkan ke versi 30000002.3.19-20333 atau lebih tinggi
• Untuk PHP 7.4: tingkatkan ke 7.4.33-0131 (DSM 7.2 atau lebih tinggi), 7.4.33-0122 (DSM 7.0–7.1), atau 7.4.33-0010 (DSM 6.2)
• Untuk PHP 8.0: tingkatkan ke 8.0.30-0122 (DSM 7.2 atau lebih tinggi) atau 8.0.30-0104 (DSM 7.0–7.1)
• Untuk PHP 8.1: tingkatkan ke 8.1.34-0120 atau lebih tinggi
• Untuk PHP 8.2: tingkatkan ke 8.2.35-0171 atau lebih tinggi
• Untuk PHP 8.3: tingkatkan ke 8.3.36-0051 atau lebih tinggi
• Untuk PHP 8.4: tingkatkan ke 8.4.27-0051 atau lebih tinggi

Synology mengatakan bahwa PHP bawaan di DSM tidak terbuka terhadap permukaan serangan eksternal, sehingga risiko eksploitasi secara praktis sangat rendah. Meski demikian, pembaruan harus diterapkan sesegera mungkin.

Detail lengkap tersedia di penasihat keamanan resmi Synology SA-26:14.

Butuh bantuan memeriksa dan memperbarui sistem Anda?

Ryzen eSolutions adalah mitra Synology berwenang di Malaysia. Para insinyur kami dapat memeriksa versi yang berjalan di NAS Anda, menerapkan pembaruan kritis ini, dan memastikan sistem backup dan surveilans Anda tetap aman. Hubungi kami hari ini—atau minta kami untuk menambahkan ini ke paket dukungan terkelola Anda.

Sumber: Synology-SA-26:14 PHP2Shell, dipublikasikan oleh Synology pada 22 Oktober 2026.

Produk untuk pekerjaan ini

Perangkat keras dan lisensi disediakan melalui toko saudara kami PrinterBullet. Harga berlaku hari ini.

Synology M2D18 Dual M.2 SSD Adapter Card RM 539.00 Synology Surveillance Device License Pack 4 RM 1,089.00 Synology E10G30-T1 Single port 10 Gigabit Base-T PCIe 3.0 x4 Ethernet... RM 699.00 Synology E25G30-F2 dual-port 25GbE SFP28 network card RM 1,879.00

Pertanyaan yang sering diajukan

Apakah Hyper Backup terpengaruh oleh SA-26:14?

Tidak. Synology mengatakan Hyper Backup tidak terpengaruh oleh kerentanan PHP2Shell. Calendar, Mail Station, dan beberapa versi PHP memerlukan pembaruan.

Apa yang terjadi jika saya tidak memperbarui?

Penyerang di jaringan Anda berpotensi dapat menjalankan kode di NAS Anda. Synology mencatat risiko praktis sangat rendah karena PHP tidak terbuka secara eksternal, tetapi pembaruan harus diterapkan segera.

Bagaimana cara memeriksa versi PHP yang saya jalankan?

Masuk ke DSM, buka Package Centre, temukan paket PHP, dan periksa nomor versi. Bandingkan dengan versi yang diperbaiki yang tercantum dalam penasihat ini untuk rilis DSM Anda.