韩国互联网振兴院警告群晖NAS存在PHP2Shell高危漏洞
KISA于2026年10月29日发布安全公告，两款漏洞CVSS评分均为9.8，可致未授权远程代码执行。
韩国互联网振兴院（KISA）于2026年10月29日发布安全更新公告，警告群晖（Synology）NAS 产品受到 PHP2Shell 相关高危漏洞影响，并敦促用户尽快安装补丁。据 dailysecu.com 报道，本次漏洞编号为 CVE-2026-109618 和 CVE-2026-109619。
公告显示，两款漏洞在 CVSS 3.1 评分中均为 9.8，攻击者可借此在未授权的情况下实现远程代码执行。受影响组件包括 Synology Calendar、Mail Station 以及 PHP 7.3 至 8.4 软件包，WordPress、Web Station、phpMyAdmin、Joomla 和 MediaWiki 等其他基于 PHP 的应用也可能受到影响。
修复版本与操作方式
群晖已为 DSM 7.4、7.3、7.2、7.1、7.0 和 6.2 发布 PHP 安全更新。其中 Synology Calendar 需升级至 3.0.4-21435 或更高版本，Mail Station 需升级至 30000002.3.19-20333 或更高版本。
群晖建议用户通过 Package Center 安装 PHP 更新，而 Mail Station 则需要单独手动更新。对于已停止支持的 PHP 7.3，官方未提供安全补丁，用户需迁移至受支持的版本。
对于 6.2 之前的 DSM 版本，群晖建议用户暂时停用受影响套件，并升级至受支持的 DSM 版本。群晖此前的调查称，受影响的是使用特定 PHP 套件的系统；NAS 操作系统内部使用的 PHP 组件无法从外部直接访问，因此实际被利用的风险非常低。
快速问答
这次受影响的漏洞编号是什么？
CVE-2026-109618 和 CVE-2026-109619，均与 PHP2Shell 相关，CVSS 3.1 评分均为 9.8。
Synology Calendar 和 Mail Station 需要升级到哪个版本？
Synology Calendar 需 3.0.4-21435 或更高版本，Mail Station 需 30000002.3.19-20333 或更高版本。
PHP 7.3 用户怎么办？
群晖未为已停止支持的 PHP 7.3 提供安全补丁，用户需迁移至受支持的版本。