KISA, 시놀로지 NAS PHP2Shell 취약점 경고…패치 권고
CVSS 3.1 기준 9.8점의 원격 코드 실행 취약점 2건이 시놀로지 제품에 영향을 미친다고 한국인터넷진흥원이 밝혔다.
한국인터넷진흥원(KISA)이 2026년 10월 29일 보안 업데이트 권고를 발표하고, PHP2Shell 취약점의 영향을 받는 시놀로지 나스 제품 사용자에게 신속한 패치 적용을 촉구했다. 권고 내용은 dailysecu.com이 보도했다.
문제가 된 취약점은 CVE-2026-109618과 CVE-2026-109619 두 건으로, 모두 CVSS 3.1 척도에서 9.8점을 기록했다. 인증 없이 원격에서 코드를 실행할 수 있는 심각한 결함이다.
영향을 받는 시놀로지 구성 요소는 시놀로지 캘린더, 메일 스테이션, PHP 7.3~8.4 패키지다. 워드프레스, 웹 스테이션, phpMyAdmin, 줌라, 미디어위키 등 PHP 기반 애플리케이션도 영향을 받을 수 있다.
시놀로지는 디스크스테이션 매니저(DSM) 7.4, 7.3, 7.2, 7.1, 7.0, 6.2 버전용 PHP 보안 업데이트를 배포했다. 시놀로지 캘린더는 3.0.4-21435 이상, 메일 스테이션은 30000002.3.19-20333 이상으로 업데이트해야 한다. PHP 업데이트는 패키지 센터에서 적용할 수 있지만, 메일 스테이션은 별도로 수동 업데이트를 진행해야 한다.
지원이 종료된 PHP 7.3에는 보안 패치가 제공되지 않아 사용자는 지원되는 버전으로 이전해야 한다. 6.2 이전 DSM 버전을 쓰는 경우에는 해당 패키지를 일시적으로 비활성화하고 지원되는 DSM 버전으로 업그레이드하라는 것이 시놀로지의 권고다.
시놀로지는 자체 조사에서 나스 운영체제가 내부적으로 사용하는 PHP 구성 요소는 외부에서 직접 접근할 수 없어 악용 위험이 매우 낮다고 밝혔다.
한눈에 보기
PHP2Shell 취약점의 심각도는 어느 정도인가?
CVE-2026-109618과 CVE-2026-109619 두 건 모두 CVSS 3.1 기준 9.8점으로, 인증 없이 원격 코드 실행이 가능하다.
시놀로지 캘린더와 메일 스테이션은 어느 버전으로 업데이트해야 하나?
시놀로지 캘린더는 3.0.4-21435 이상, 메일 스테이션은 30000002.3.19-20333 이상으로 업데이트해야 한다.
PHP 7.3 사용자는 어떻게 해야 하나?
지원이 종료된 PHP 7.3에는 보안 패치가 없으므로 지원되는 버전으로 이전해야 한다.