En bref
- Le fait. Le 22 octobre 2026, Synology a publié l'avis Synology-SA-26:14 et des versions corrigées de ses paquets PHP (versions 7.4 à 8.4), de Mail Station et de Synology Calendar. Ces paquets intègrent PHP, touché par deux failles critiques (CVE-2026-109618 et CVE-2026-109619, surnommées « PHP2Shell ») qui permettent d'exécuter du code à distance sans authentification. Synology précise que le PHP intégré au système DSM n'est pas exposé et que le risque est très faible pour celui-ci. Source : avis Synology-SA-26:14.
- Êtes-vous concerné ? Oui, si votre NAS Synology fait tourner un site web, Mail Station, Synology Calendar ou un paquet PHP installé depuis le Centre de paquets, surtout s'il est accessible depuis Internet. Les NAS QNAP sont aussi concernés (voir plus bas).
- Quoi faire :
- ouvrez le Centre de paquets du NAS et appliquez les mises à jour proposées pour PHP, Mail Station et Synology Calendar ;
- si le paquet PHP 7.3 est installé, désinstallez-le ou faites migrer les sites qui l'utilisent vers une version maintenue : Synology ne le corrigera pas ;
- évitez d'exposer directement l'interface du NAS sur Internet et privilégiez un accès par VPN.
- Urgence : critique, selon Synology.
Détail technique
Versions corrigées (avis Synology) :
| Paquet | Version à installer |
|---|---|
| Synology Calendar | 3.0.4-21435 ou ultérieure |
| Mail Station | 30000002.3.19-20333 ou ultérieure |
| PHP 7.3 | aucun correctif (fin de vie) |
| PHP 7.4 | 7.4.33-0131 ou ultérieure |
| PHP 8.0 | 8.0.30-0122 ou ultérieure |
| PHP 8.1 | 8.1.34-0120 ou ultérieure |
| PHP 8.2 | 8.2.35-0171 ou ultérieure |
| PHP 8.3 | 8.3.36-0051 ou ultérieure |
| PHP 8.4 | 8.4.27-0051 ou ultérieure |
Les failles. CVE-2026-109618 et CVE-2026-109619 ont été corrigées par le projet PHP le 21 octobre 2026 (GHSA-w8hw-w9fx-j79w et GHSA-6wmf-4rv5-p3rp). Elles touchent la gestion de la mémoire des requêtes dans le moteur PHP et peuvent mener à une exécution de code à distance.
QNAP. Dans une déclaration du 22 octobre, QNAP indique analyser l'ensemble de ses produits et avoir observé des activités de scan et des tentatives d'exploitation visant ces failles. Son avis publié sur la communauté officielle précise que plusieurs produits sont concernés et que des correctifs sont en préparation. En attendant, QNAP recommande de ne pas exposer le NAS sur Internet, de désactiver la redirection de ports et l'UPnP sur le routeur, de passer par un VPN et de restreindre l'accès aux ports d'administration ; ces mesures réduisent l'exposition sans remplacer les correctifs.
KEV. Non : ces CVE ne figurent pas au catalogue KEV de la CISA (version du 21 octobre 2026).
Vérifier sa version. Dans DSM, ouvrir le Centre de paquets, onglet « Installés » : la version de chaque paquet s'affiche dans sa fiche et les mises à jour disponibles sont signalées.