Synology ประกาศช่องโหว่ความปลอดภัยที่สำคัญที่ส่งผลกระทบต่อผลิตภัณฑ์และเวอร์ชัน PHP หลายเวอร์ชันใน DSM ผู้โจมตีจากระยะไกลสามารถเรียกใช้โค้ดโดยพลการในระบบที่มีความเสี่ยง หากคุณใช้ Synology Calendar Mail Station หรือเวอร์ชัน PHP เฉพาะ คุณต้องตรวจสอบเวอร์ชันซอฟต์แวร์และอัปเดตทันที
ช่องโหว่ PHP2Shell คืออะไร
Synology ระบุว่าปัญหามาจากข้อบกพร่องสองประการในวิธีที่ PHP จัดการหน่วยความจำเมื่อเกิดข้อผิดพลาดในการใช้หน่วยความจำไม่พอ ในทั้งสองกรณี หน่วยความจำของคำขออาจยังคงอยู่ในสถานะที่คาดเดาไม่ได้และสามารถเข้าถึงได้จากคำขอที่ตามมา ผู้โจมตีสามารถใช้ประโยชน์นี้เพื่อรันโค้ดโดยพลการบน NAS ของคุณจากเครือข่ายโดยไม่ต้องเข้าสู่ระบบหรือโต้ตอบกับผู้ใช้
Synology ให้คะแนนนี้ว่ามีความรุนแรงสำคัญ (คะแนน CVSS 9.8)
ผลิตภัณฑ์ Synology ใดที่ได้รับผลกระทบ
Synology ระบุว่า Hyper Backup ไม่ได้รับผลกระทบ แพคเกจต่อไปนี้มีความเสี่ยง
- Synology Calendar (ทุกเวอร์ชันด้านล่าง 3.0.4-21435)
- Mail Station (ทุกเวอร์ชันด้านล่าง 30000002.3.19-20333)
- PHP 7.3, PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3 และ PHP 8.4
Synology ระบุว่า PHP 7.3 ได้สิ้นสุดการสนับสนุนแล้วและจะไม่ได้รับการแก้ไข
คุณควรทำอะไรในตอนนี้
เริ่มต้นด้วยการตรวจสอบเวอร์ชันที่ติดตั้งอยู่บน NAS ของคุณ
- สำหรับ Calendar อัปเกรดเป็นเวอร์ชัน 3.0.4-21435 หรือสูงกว่า
- สำหรับ Mail Station อัปเกรดเป็นเวอร์ชัน 30000002.3.19-20333 หรือสูงกว่า
- สำหรับ PHP 7.4 อัปเกรดเป็น 7.4.33-0131 (DSM 7.2 ขึ้นไป) 7.4.33-0122 (DSM 7.0–7.1) หรือ 7.4.33-0010 (DSM 6.2)
- สำหรับ PHP 8.0 อัปเกรดเป็น 8.0.30-0122 (DSM 7.2 ขึ้นไป) หรือ 8.0.30-0104 (DSM 7.0–7.1)
- สำหรับ PHP 8.1 อัปเกรดเป็น 8.1.34-0120 หรือสูงกว่า
- สำหรับ PHP 8.2 อัปเกรดเป็น 8.2.35-0171 หรือสูงกว่า
- สำหรับ PHP 8.3 อัปเกรดเป็น 8.3.36-0051 หรือสูงกว่า
- สำหรับ PHP 8.4 อัปเกรดเป็น 8.4.27-0051 หรือสูงกว่า
Synology ระบุว่า PHP ในตัว DSM ไม่ได้เปิดให้บริการภายนอกจึงความเสี่ยงในทางปฏิบัติจากการโจมตีมีน้อยมากแม่นกระไร อัปเดตควรใช้โดยเร็วที่สุด
รายละเอียดเต็มรูปแบบพร้อมใช้งานในคำแนะนำความปลอดภัยอย่างเป็นทางการของ Synology SA-26:14
ต้องการความช่วยเหลือในการตรวจสอบและอัปเดตระบบของคุณหรือไม่
Ryzen eSolutions เป็น พาร์ทเนอร์ Synology ที่ได้รับอนุญาตในมาเลเซีย วิศวกรของเราสามารถตรวจสอบเวอร์ชันที่ทำงานบน NAS ของคุณ ใช้อัปเดตที่สำคัญเหล่านี้ และให้แน่ใจว่าระบบสำรองข้อมูลและการเฝ้าระวังของคุณยังคงปลอดภัย ติดต่อเราวันนี้ หรือขอให้เพิ่มข้อมูลนี้เข้าในแผนการสนับสนุนที่จัดการของคุณ
แหล่งที่มา: Synology-SA-26:14 PHP2Shell เผยแพร่โดย Synology เมื่อวันที่ 22 ตุลาคม 2026
ผลิตภัณฑ์สำหรับงานนี้
อุปกรณ์และใบอนุญาตได้รับจากร้านค้าพี่น้องของเรา PrinterBullet ราคาเป็นปัจจุบัน
Synology M2D18 Dual M.2 SSD Adapter Card RM 539.00 
Synology Surveillance Device License Pack 4 RM 1,089.00 
Synology E10G30-T1 Single port 10 Gigabit Base-T PCIe 3.0 x4 Ethernet... RM 699.00 
Synology E25G30-F2 dual-port 25GbE SFP28 network card RM 1,879.00 คำถามที่พบบ่อย
Hyper Backup ได้รับผลกระทบจาก SA-26:14 หรือไม่
ไม่ครับ Synology ระบุว่า Hyper Backup ไม่ได้รับผลกระทบจากช่องโหว่ PHP2Shell Calendar Mail Station และ PHP เวอร์ชันต่างๆ ต้องการอัปเดต
จะเกิดอะไรขึ้นหากฉันไม่อัปเดต
ผู้โจมตีในเครือข่ายของคุณอาจสามารถรันโค้ดบน NAS ของคุณได้ Synology ระบุว่าความเสี่ยงในทางปฏิบัติมีน้อยมากเพราะ PHP ไม่ได้เปิดให้บริการภายนอก แต่ควรใช้อัปเดตโดยเร็ว
ฉันจะตรวจสอบเวอร์ชัน PHP ที่ฉันใช้อยู่ได้อย่างไร
เข้า DSM เปิด Package Centre ค้นหาแพคเกจ PHP และตรวจสอบหมายเลขเวอร์ชัน เปรียบเทียบกับเวอร์ชันที่แก้ไขแล้วในคำแนะนำนี้สำหรับรีลีส DSM ของคุณ