// STADT-BREMERHAVEN — CYBERSECURITY
Synology: Sicherheitsupdates für PHP gegen PHP2Shell-Lücken
von Carsten Knobloch
22. Okt. 2026 |
4
Synology hat eine Stellungnahme zu den kürzlich bekannt gewordenen PHP2Shell-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) veröffentlicht. Nach einer Untersuchung durch das hauseigene Sicherheitsteam (PSIRT) steht fest, dass die Sicherheitslücken nur NAS-Systeme betreffen, auf denen bestimmte Pakete mit PHP-Abhängigkeit laufen.
Falls ihr eines der folgenden Pakete auf eurem Synology-NAS im Einsatz habt, solltet ihr aktiv werden:
* Calendar
* IDrive (Drittanbieter-Paket, Synology Drive selbst ist nicht betroffen)
* Joomla
* KodExplorer
* MailStation (erfordert ein manuelles Update über das Paketzentrum)
* MediaWiki
* phpMyAdmin
* vtigerCRM
* Web Station
* WordPress
Synology hat entsprechende Sicherheitsupdates für PHP in DSM 7.4, DSM 7.3 sowie für das bereits aus dem Support gelaufene DSM 7.2 bereitgestellt. Ihr solltet das PHP-Paket daher zügig über das Paketzentrum aktualisieren. Sobald das Update durchgelaufen ist, starten die abhängigen Pakete automatisch neu und die Lücke ist dicht. Nun ja, erst einmal. Gibt ja schon wieder Berichte, dass da noch nicht das Ende der Fahnenstange erreicht sei.
Wer noch mit einer Version vor DSM 7.2 unterwegs ist, sollte die betroffenen Pakete vorübergehend deaktivieren, bis das System auf eine gepatchte DSM-Version aktualisiert wurde.
Für das DSM-System selbst gibt es Entwarnung: Die intern genutzte PHP-Komponente verfügt laut Synology über keine von außen erreichbaren Module und bietet daher keine Angriffsfläche. Das Risiko stuft Synology als minimal ein, ein Patch für künftige DSM-Versionen ist dennoch eingeplant. Weitere Details findet ihr direkt im Security Advisory Synology-SA-26:14 beim Hersteller.
Hinweis: Dieser Artikel enthält Affiliate-Links. Kauft ihr darüber ein, erhalten wir eine kleine Provision - ohne Aufpreis für euch und ohne Einfluss auf unsere redaktionelle Meinung.