أعلنت شركة Synology عن استكمال فريق الاستجابة للحوادث الأمنية للمنتجات (PSIRT) تحقيقه في ثغرتي PHP2Shell اللتين تحملان المعرفين CVE-2026-109618 وCVE-2026-109619، مؤكدة أن نطاق التأثير يقتصر على الأنظمة التي تشغّل حزمًا معينة تعتمد على PHP، مع إصدار تحديثات أمنية لمعالجة الثغرات في عدد من إصدارات نظام التشغيل DiskStation Manager (DSM).
ووفقًا لنتائج التحقيق، لا تتأثر جميع أنظمة Synology بالثغرتين، بل يقتصر الخطر على الأنظمة التي تستخدم حزمًا محددة تعتمد على PHP، وتشمل Calendar وIDrive وJoomla وKodExplorer وMailStation وMediaWiki وphpMyAdmin وvtigerCRM وWeb Station وWordPress. ولذلك، توصي الشركة المستخدمين الذين يعتمدون على أي من هذه الحزم بتثبيت التحديثات الأمنية في أسرع وقت ممكن.
تحديثات أمنية لإصدارات DSM المختلفة
أوضحت Synology أنها أصدرت تحديثات PHP الأمنية لأنظمة DSM 7.4 وDSM 7.3، إلى جانب الإصدارات التي وصلت إلى نهاية دورة حياتها، وهي DSM 7.2 وDSM 7.1 وDSM 7.0. كما حددت الشركة يوم 29 أكتوبر 2026 موعدًا مقررًا لإصدار التصحيح الخاص بنظام DSM 6.2.
ولتثبيت التحديث، ينبغي للمستخدمين فتح Package Center وتحديث مكوّن PHP الخاص بالحزم المتأثرة. وبعد اكتمال التحديث، ستُعاد تشغيل الحزم التي تعتمد على PHP تلقائيًا، وفقًا لما ذكرته الشركة، وبذلك تُعالج الثغرات المشار إليها.
أما الأجهزة التي تعمل بإصدارات أقدم من DSM 6.2، فتنصح Synology بتعطيل الحزم المتأثرة مؤقتًا لتقليل المخاطر، إلى حين الانتقال إلى إصدار مدعوم من النظام.
مكوّن PHP الداخلي في DSM لا يوفّر سطح هجوم مكشوفًا
تطرقت Synology أيضًا إلى مكوّن PHP المضمّن في نظام DSM والمخصص للاستخدام الداخلي. وأكدت الشركة أن التصميم المعماري لهذا المكوّن لا يتضمن وحدات يمكن الوصول إليها من الخارج، ما يعني أنه لا يوفّر سطح هجوم مكشوفًا عبر هذه الوحدات.
وبناءً على تقييم فريق PSIRT، فإن مستوى المخاطر المرتبط بهذا المكوّن الداخلي يُعد محدودًا للغاية. ومع ذلك، تخطط الشركة لإدراج تصحيح له ضمن إصدار لاحق من DSM، بهدف توحيد نتائج فحوصات الثغرات الأمنية وضمان اتساق حالة الامتثال الأمني.
ما الذي ينبغي على مستخدمي أجهزة Synology فعله؟
تتمثل الخطوة الأهم للمستخدمين في التحقق من وجود أي من الحزم المتأثرة على أجهزتهم، ثم تحديث PHP عبر Package Center فورًا إذا كانت الحزم المعنية مستخدمة. كما ينبغي لمستخدمي الإصدارات القديمة غير المدعومة اتخاذ إجراءات التخفيف التي توصي بها الشركة، وعلى رأسها تعطيل الحزم المتأثرة مؤقتًا قبل الانتقال إلى إصدار مدعوم من DSM.
يمكن الاطلاع على التفاصيل الفنية والتحديثات الرسمية من خلال النشرة الأمنية Synology-SA-26:14 على موقع الشركة.
