Synology : des failles PHP2Shell critiques à corriger sans délai
L'agence coréenne KISA a publié le 29 octobre 2026 un avis de sécurité sur des vulnérabilités PHP2Shell affectant les NAS Synology, avec des correctifs à appliquer.
Le 29 octobre 2026, la Korea Internet & Security Agency (KISA) a publié un avis de sécurité invitant les utilisateurs des produits NAS Synology concernés à appliquer rapidement les correctifs, rapporte dailysecu.com. Les vulnérabilités, suivies sous les références CVE-2026-109618 et CVE-2026-109619, sont liées à PHP2Shell.
Les deux failles sont notées 9,8 sur l'échelle CVSS 3.1 et pourraient permettre une exécution de code à distance sans authentification. Les composants Synology concernés incluent Synology Calendar, Mail Station et les paquets PHP 7.3 à 8.4. D'autres applications PHP comme WordPress, Web Station, phpMyAdmin, Joomla et MediaWiki pourraient également être affectées.
Synology a publié des mises à jour de sécurité PHP pour DSM 7.4, 7.3, 7.2, 7.1, 7.0 et 6.2. Synology Calendar doit être mis à jour vers la version 3.0.4-21435 ou ultérieure, et Mail Station vers la version 30000002.3.19-20333 ou ultérieure. Aucun correctif n'est fourni pour PHP 7.3, en fin de vie : les utilisateurs doivent migrer vers une version prise en charge.
Synology recommande d'appliquer les mises à jour PHP via le Package Center ; Mail Station nécessite une mise à jour manuelle distincte. Pour les versions de DSM antérieures à 6.2, Synology conseille de désactiver temporairement les paquets concernés et de passer à une version de DSM prise en charge.
Contexte : un risque jugé très faible en interne
L'enquête de Synology a conclu que les vulnérabilités affectent les systèmes utilisant certains paquets basés sur PHP. Le constructeur a indiqué que les composants PHP utilisés en interne par le système d'exploitation du NAS ne sont pas accessibles directement depuis l'extérieur, ce qui rend le risque d'exploitation très faible.
En bref
Quelles versions de Synology Calendar et Mail Station faut-il installer ?
Synology Calendar doit être mis à jour vers la version 3.0.4-21435 ou ultérieure, et Mail Station vers la version 30000002.3.19-20333 ou ultérieure.
PHP 7.3 est-il corrigé ?
Non, aucun correctif de sécurité n'est fourni pour PHP 7.3, en fin de vie. Les utilisateurs doivent migrer vers une version prise en charge.
Comment appliquer les mises à jour sur un NAS Synology ?
Synology recommande d'appliquer les mises à jour PHP via le Package Center. Mail Station nécessite une mise à jour manuelle séparée.