ハッカーが時代遅れの NAS システムをターゲットにしているため、Synology はさらに多くの PHP2Shell 修正を急いで実施

Synology は、PHP 開発者が 10 月 21 日に緊急セキュリティ パッチをリリースして以来、PHP2Shell の脆弱性の修正に急いでおり、同社の NAS パッケージの多くが影響を受けることを確認しました。攻撃者がこの欠陥を悪用していると Synology が報告し、米国のサイバーセキュリティ機関 CISA が既知の悪用された脆弱性カタログにそれらを追加したため、話は変わりました。 Synology は、古い NAS システムをターゲットとした別のランサムウェア キャンペーンの発見を受けて、セキュリティ修正を古い DiskStation Manager (DSM) バージョンに拡張しています。

同社は、古い DSM システムに対するアクティブな攻撃が発見されたことを受けて、NAS 所有者に最新のセキュリティ アップデートをインストールするよう呼びかけています。攻撃者は、2024 年 12 月に最初にパッチが適用された欠陥を悪用し、ディスク上のデータを暗号化し、影響を受けるユーザーからの身代金を要求しているようです。

この警告は、Synology が最近明らかになった CVE-2026-109618 および CVE-2026-109619 として識別される 2 つの PHP2Shell の欠陥を調査しているときに行われます。同社の製品セキュリティ インシデント対応チーム (PSIRT) は以前、この欠陥は PHP に依存する一部のパッケージにのみ影響し、DSM を実行しているすべての Synology NAS デバイスには影響しないと述べました。

影響を受けるパッケージは、Calendar、IDrive、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station、WordPress です。これらのいずれかを Synology NAS で実行している場合は、すぐにアップデートをチェックする必要があります。

古いバージョンの DSM は影響を受けません

Synology は、サポートされているシステムを超えて PHP2Shell 修正を拡張します

Synology は、DSM 7.4 および 7.3 と、サポートが終了した古いバージョン DSM 7.2、7.1、7.0、および 6.2 用の PHP セキュリティ アップデートをリリースしました。特にオペレーティング システムのバージョンの一部がサポートされなくなったことを考慮すると、これはかなり広範囲にわたるアップデートの展開となります。

ユーザーはパッケージ センターにアクセスし、影響を受けるパッケージの PHP を更新する必要があります。更新が完了すると、依存パッケージが自動的に再起動され、PHP2Shell の脆弱性が修正されます。 1 つの例外は MailStation で、これはパッケージ センターで手動で更新する必要があるため、すべてが自動的に処理されると想定しないでください。

6.2 より前の DSM バージョンを実行している場合は手順が異なります。 Synology では、サポートされている DSM リリースにアップグレードする前に、影響を受けるパッケージを一時的に無効にして危険性を減らすことをお勧めします。

Synology NAS が必ずしも問題であるとは限りません

DSM の内部 PHP コンポーネントは公開が制限されています

NAS 上のすべての PHP コンポーネントが脆弱であると仮定する前に、理解する価値のある詳細がもう 1 つあります。 DSM には、システム操作に使用される内部 PHP コンポーネントもあります。 Synology によれば、このコンポーネントには外部からアクセス可能なモジュールがないため、攻撃者が悪用できる露出した攻撃面を提供することはありません。

同社のセキュリティ チームはリスクが低いと評価しており、今後の DSM アップデートでこの脆弱性に対処する予定です。このパッチは、脆弱性スキャンの結果とコンプライアンス ステータスの一貫性を保つことを目的としています。