أكدت Synology وجود ثغرات حرجة في PHP2Shell تؤثر على مجموعة من التطبيقات المعتمدة على PHP في أجهزة NAS الخاصة بها. تُتابع هذه الثغرات تحت الرمزين CVE-2026-109618 وCVE-2026-109619، وكلاهما يحمل درجة خطورة 9.8 وفقاً لنظام CVSS 3.1.

تشمل التطبيقات المتأثرة Calendar، IDrive، Joomla، MailStation، MediaWiki، phpMyAdmin، vtigerCRM، Web Station، وWordPress. أصدرت Synology تحديثات أمنية لعدة إصدارات من DiskStation Manager (DSM)، بما في ذلك الإصدارات التي انتهى دعمها، لمعالجة هذه الثغرات.

تم جدولة إصدار تحديث لـ DSM 6.2 في 29 أكتوبر 2026. أشارت فريق استجابة حوادث أمان المنتجات (PSIRT) في Synology إلى أن هذه الثغرات تسمح بتنفيذ التعليمات البرمجية عن بُعد، وقد أضافتها وكالة الأمن السيبراني الأمريكية CISA إلى كتالوج الثغرات المستغلة المعروفة.

تنصح Synology المستخدمين الذين يشغلون التطبيقات المتأثرة بالتحقق من مركز الحزم وتثبيت أحدث تحديثات الأمان لـ PHP المتاحة. بالنسبة للأنظمة التي تعمل بإصدارات قبل DSM 6.2، توصي Synology بتعطيل الحزم المتأثرة مؤقتاً.

يعتبر المكون الداخلي لـ PHP في DSM منخفض الخطورة بسبب عدم تعرضه الخارجي. ومع ذلك، فقد حظيت الثغرات بالاهتمام بسبب محاولات الاستغلال التي تمت ملاحظتها قبل الكشف عنها علناً في 21 أكتوبر.