تحذير أمني من KISA بثغرات حرجة في أجهزة Synology

أصدرت الوكالة الكورية للإنترنت والأمن (KISA) في 29 أكتوبر 2026 تحذيرًا أمنيًا دعت فيه مستخدمي منتجات Synology NAS المتأثرة إلى تحديث أنظمتهم بسرعة، وفق ما نشره موقع dailysecu.com.

تُعرف الثغرتان اللتان رصدهما التحذير بـ CVE-2026-109618 وCVE-2026-109619 وترتبطان بمجموعة ثغرات PHP2Shell، وقد صُنفت كلتاهما بتقييم 9.8 على مقياس CVSS 3.1، ما يعني أنهما قد تسمحان بتنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى مصادقة.

تشمل المكونات المتأثرة في Synology كلاً من Synology Calendar وMail Station وحزم PHP من الإصدار 7.3 حتى 8.4. وأشار التحذير إلى أن تطبيقات أخرى مبنية على PHP مثل WordPress وWeb Station وphpMyAdmin وJoomla وMediaWiki قد تكون متأثرة أيضًا.

أصدرت Synology تحديثات أمنية لحزم PHP لأنظمة DSM 7.4 و7.3 و7.2 و7.1 و7.0 و6.2. ويجب تحديث Synology Calendar إلى الإصدار 3.0.4-21435 أو أحدث، وMail Station إلى الإصدار 30000002.3.19-20333 أو أحدث. ولا يتوفر تحديث أمني لإصدار PHP 7.3 الذي انتهى دعمه، ما يستلزم ترقية المستخدمين إلى إصدار مدعوم.

وأوصت Synology بتطبيق تحديثات PHP عبر Package Center، بينما يتطلب Mail Station تحديثًا يدويًا منفصلًا. وبالنسبة لإصدارات DSM الأقدم من 6.2، تنصح الشركة بتعطيل الحزم المتأثرة مؤقتًا والترقية إلى إصدار مدعوم.

خطر الاستغلال منخفض

وكان تحقيق أجرته Synology قد خلص إلى أن الثغرات تؤثر في الأنظمة التي تستخدم حزمًا معينة مبنية على PHP. وأوضحت الشركة أن مكونات PHP التي يستخدمها نظام التشغيل داخليًا لا يمكن الوصول إليها مباشرة من الخارج، ما يجعل خطر الاستغلال منخفضًا جدًا.