Synology 已宣布存在一个影响多个产品和 DSM 中 PHP 版本的严重安全漏洞。远程攻击者可以在易受攻击的系统上执行任意代码。如果您运行 Synology Calendar、Mail Station 或特定 PHP 版本，需要检查软件版本并立即更新。
什么是 PHP2Shell 漏洞？
Synology 表示该问题源于 PHP 在处理内存不足错误时内存管理方式的两个缺陷。在两种情况下，请求内存可能保持在不可预测的状态，并被后续请求访问。攻击者可以利用此漏洞从网络上在您的 NAS 上运行任意代码，无需登录或用户交互。
Synology 将此评为严重程度（CVSS 评分 9.8）。
哪些 Synology 产品受影响？
Synology 表示 Hyper Backup 不受影响。以下套件容易受到攻击：
- Synology Calendar（3.0.4-21435 以下的所有版本）
- Mail Station（30000002.3.19-20333 以下的所有版本）
- PHP 7.3、PHP 7.4、PHP 8.0、PHP 8.1、PHP 8.2、PHP 8.3 和 PHP 8.4
Synology 指出 PHP 7.3 已停止支持，将不会获得修复。
您现在应该做什么？
首先检查 NAS 上当前安装的版本：
- 对于 Calendar：升级至 3.0.4-21435 或更高版本
- 对于 Mail Station：升级至 30000002.3.19-20333 或更高版本
- 对于 PHP 7.4：升级至 7.4.33-0131（DSM 7.2 或更高版本）、7.4.33-0122（DSM 7.0–7.1）或 7.4.33-0010（DSM 6.2）
- 对于 PHP 8.0：升级至 8.0.30-0122（DSM 7.2 或更高版本）或 8.0.30-0104（DSM 7.0–7.1）
- 对于 PHP 8.1：升级至 8.1.34-0120 或更高版本
- 对于 PHP 8.2：升级至 8.2.35-0171 或更高版本
- 对于 PHP 8.3：升级至 8.3.36-0051 或更高版本
- 对于 PHP 8.4：升级至 8.4.27-0051 或更高版本
Synology 表示 DSM 中的内置 PHP 不会暴露于外部攻击面，因此实际利用风险非常低。即便如此，应尽快应用更新。
完整详情请参阅 Synology 官方安全公告 SA-26:14。
需要帮助检查和更新您的系统？
Ryzen eSolutions 是马来西亚的 Synology 授权合作伙伴。我们的工程师可以检查 NAS 上运行的版本，应用这些严重更新，并确保您的 备份和监控系统保持安全。立即联系我们，或要求我们将其添加到您的 托管支持计划中。
来源：Synology-SA-26:14 PHP2Shell，由 Synology 于 2026 年 10 月 22 日发布。
该工作所需的产品
硬件和许可证通过我们的姊妹店 PrinterBullet 供应。价格为今日价格。
Synology M2D18 双 M.2 SSD 适配卡 RM 539.00 
Synology 监控设备许可证包 4 RM 1,089.00 
Synology E10G30-T1 单端口 10 Gigabit Base-T PCIe 3.0 x4 以太网… RM 699.00 
Synology E25G30-F2 双端口 25GbE SFP28 网络卡 RM 1,879.00 常见问题
Hyper Backup 受 SA-26:14 影响吗？
不受影响。Synology 表示 Hyper Backup 不受 PHP2Shell 漏洞影响。日历、邮件站和多个 PHP 版本需要更新。
如果我不更新会怎样？
您网络上的攻击者可能会在您的 NAS 上运行代码。Synology 指出实际风险很低，因为 PHP 不对外公开，但应立即应用更新。
我如何检查我运行的 PHP 版本？
登录 DSM，打开套件中心，找到 PHP 套件，并查看版本号。将其与本公告中针对您的 DSM 版本所列的固定版本进行比较。