Synology SA-26:14 PHP2Shell 緊急セキュリティ更新

Synology は複数の製品および DSM 内の PHP バージョンに影響する緊急セキュリティ脆弱性を公表しました。認証されていないリモート攻撃者は、被害を受けやすいシステム上で任意のコードを実行できる可能性があります。Synology Calendar、Mail Station、または特定の PHP バージョンを実行している場合は、ソフトウェアバージョンを確認して今すぐ更新する必要があります。

PHP2Shell 脆弱性とは何ですか？

Synology によると、この問題はメモリ不足エラーが発生した場合に PHP がメモリを管理する方法における 2 つの欠陥に起因しています。どちらの場合も、リクエストメモリが予測不可能な状態のままになり、後続のリクエストからアクセスされる可能性があります。攻撃者はこれを悪用して、ログインまたはユーザーインタラクションなしでネットワークから NAS 上の任意のコードを実行できます。

Synology はこれを重大度が高い（CVSS スコア 9.8）と評価しています。

どの Synology 製品が影響を受けますか？

Synology によると、Hyper Backup は影響を受けません。以下のパッケージが脆弱です：

Synology Calendar（3.0.4-21435 未満のすべてのバージョン）
Mail Station（30000002.3.19-20333 未満のすべてのバージョン）
PHP 7.3、PHP 7.4、PHP 8.0、PHP 8.1、PHP 8.2、PHP 8.3、PHP 8.4

Synology は PHP 7.3 がサポート終了に達しており、修正は提供されないと指摘しています。

今すぐやるべきことは何ですか？

まず、NAS に現在インストールされているバージョンを確認します：

Calendarの場合：バージョン 3.0.4-21435 以上にアップグレードしてください
Mail Stationの場合：バージョン 30000002.3.19-20333 以上にアップグレードしてください
PHP 7.4の場合：7.4.33-0131（DSM 7.2 以上）、7.4.33-0122（DSM 7.0～7.1）、または 7.4.33-0010（DSM 6.2）にアップグレードしてください
PHP 8.0の場合：8.0.30-0122（DSM 7.2 以上）または 8.0.30-0104（DSM 7.0～7.1）にアップグレードしてください
PHP 8.1の場合：8.1.34-0120 以上にアップグレードしてください
PHP 8.2の場合：8.2.35-0171 以上にアップグレードしてください
PHP 8.3の場合：8.3.36-0051 以上にアップグレードしてください
PHP 8.4の場合：8.4.27-0051 以上にアップグレードしてください

Synology は DSM に組み込まれた PHP は外部の攻撃面に露出していないため、悪用される実際的なリスクは非常に低いと述べています。それでも、更新はできるだけ早く適用すべきです。

詳細は Synology の公式セキュリティ勧告 SA-26:14 で確認できます。

システムの確認と更新でお困りですか？

Ryzen eSolutions はマレーシアの認定 Synology パートナーです。弊社のエンジニアが NAS で実行中のバージョンを確認し、これらの重大な更新を適用し、バックアップおよび監視システムが安全な状態を保つことを確認できます。お気軽にお問い合わせください。また、マネージドサポートプランに追加するようお依頼いただくこともできます。

出典：Synology が 2026 年 10 月 22 日に公開した Synology-SA-26:14 PHP2Shell