Synology SA-26:14: Kerentanan PHP kritikal dalam Calendar, Mail Station

Synology telah mengisytiharkan kerentanan keselamatan kritikal yang menjejaskan berbagai produk dan versi PHP dalam DSM. Penyerang jauh dapat melaksanakan kod sewenang-wenang pada sistem yang terdedah. Jika anda menjalankan Synology Calendar, Mail Station, atau versi PHP tertentu, anda perlu menyemak versi perisian anda dan kemas kini sekarang.

Apakah kerentanan PHP2Shell?

Synology menyatakan isu berpunca daripada dua kecacatan dalam cara PHP menguruskan ingatan apabila berlaku ralat kehabisan ingatan. Dalam kedua-dua kes, ingatan permintaan mungkin kekal dalam keadaan yang tidak dapat diramalkan dan diakses oleh permintaan kemudian. Penyerang dapat mengeksploitasi ini untuk menjalankan kod sewenang-wenang pada NAS anda dari rangkaian, tanpa perlu log masuk atau berinteraksi dengan pengguna.

Synology menilai ini sebagai keterukan kritikal (skor CVSS 9.8).

Produk Synology mana yang terjejas?

Synology menyatakan Hyper Backup tidak terjejas. Paket berikut terdedah kepada kerentanan:

• Synology Calendar (semua versi di bawah 3.0.4-21435)
• Mail Station (semua versi di bawah 30000002.3.19-20333)
• PHP 7.3, PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3, dan PHP 8.4

Synology menyatakan bahawa PHP 7.3 telah mencapai akhir hayat dan tidak akan menerima pembaikan.

Apakah yang patut anda lakukan sekarang?

Mulai dengan menyemak versi mana yang kini dipasang pada NAS anda:

• Untuk Calendar: naik taraf ke versi 3.0.4-21435 atau lebih tinggi
• Untuk Mail Station: naik taraf ke versi 30000002.3.19-20333 atau lebih tinggi
• Untuk PHP 7.4: naik taraf ke 7.4.33-0131 (DSM 7.2 atau lebih tinggi), 7.4.33-0122 (DSM 7.0–7.1), atau 7.4.33-0010 (DSM 6.2)
• Untuk PHP 8.0: naik taraf ke 8.0.30-0122 (DSM 7.2 atau lebih tinggi) atau 8.0.30-0104 (DSM 7.0–7.1)
• Untuk PHP 8.1: naik taraf ke 8.1.34-0120 atau lebih tinggi
• Untuk PHP 8.2: naik taraf ke 8.2.35-0171 atau lebih tinggi
• Untuk PHP 8.3: naik taraf ke 8.3.36-0051 atau lebih tinggi
• Untuk PHP 8.4: naik taraf ke 8.4.27-0051 atau lebih tinggi

Synology menyatakan PHP terbina dalam DSM tidak terdedah kepada permukaan serangan luaran, jadi risiko praktikal pengeksploitasian sangat rendah. Walau begitu, kemas kini harus digunakan secepat mungkin.

Butiran lengkap tersedia dalam nasihat keselamatan rasmi Synology SA-26:14.

Memerlukan bantuan menyemak dan kemas kini sistem anda?

Ryzen eSolutions adalah rakan Synology yang dibenarkan di Malaysia. Jurutera kami dapat menyemak versi yang berjalan pada NAS anda, menggunakan kemas kini kritikal ini, dan memastikan sistem sandaran dan pengawasan anda tetap selamat. Hubungi kami hari ini—atau minta kami menambahkan ini ke pelan sokongan terurus anda.

Sumber: Synology-SA-26:14 PHP2Shell, diterbitkan oleh Synology pada 22 Oktober 2026.

Produk untuk kerja ini

Perkakasan dan lesen disediakan melalui kedai sister kami PrinterBullet. Harga adalah hari ini.

Synology M2D18 Dual M.2 SSD Adapter Card RM 539.00 Synology Surveillance Device License Pack 4 RM 1,089.00 Synology E10G30-T1 Single port 10 Gigabit Base-T PCIe 3.0 x4 Ethernet... RM 699.00 Synology E25G30-F2 dual-port 25GbE SFP28 network card RM 1,879.00

Soalan yang kerap ditanya

Adakah Hyper Backup terjejas oleh SA-26:14?

Tidak. Synology menyatakan Hyper Backup tidak terjejas oleh kerentanan PHP2Shell. Calendar, Mail Station dan beberapa versi PHP memerlukan kemas kini.

Apa yang terjadi jika saya tidak kemas kini?

Penyerang pada rangkaian anda mungkin dapat menjalankan kod pada NAS anda. Synology menyatakan risiko praktikal sangat rendah kerana PHP tidak terdedah secara luaran, tetapi kemas kini harus digunakan dengan segera.

Bagaimanakah cara saya menyemak versi PHP yang saya jalankan?

Log masuk ke DSM, buka Package Centre, cari paket PHP, dan semak nombor versi. Bandingkan dengan versi yang diperbaiki yang disenaraikan dalam nasihat ini untuk keluaran DSM anda.