Уязвимости в интерпретаторе PHP позволяют атакующему выполнять произвольный код удалённо. Все они связаны с обработкой памяти при нехватке ресурсов и при переиспользовании состояния запроса. В продуктах Synology уязвимы пакеты PHP, почтовый модуль Mail Station и календарь Calendar. Эти компоненты работают внутри DSM. Чтобы закрыть ошибки, администраторам придётся обновить сразу несколько пакетов.
Уязвимости CVE-2026-109618 и CVE-2026-109619 в PHP
Бюллетень безопасности Synology_SA_26_14 впервые вышел 22 октября 2026 года, последнюю правку выпустили 31 октября. Записи CVE опубликовали 21 октября. Тогда же появилось предупреждение CERT-FR CERTFR-2026-ALE-014. При этом 26 октября записи CVE добавили в CISA KEV. Оценка SSVC помечает эксплуатацию как активную.
По оценке Synology, каждая из уязвимостей набирает 9,8 по шкале CVSS 3.1, в записях CVE стоит 9,2 по CVSS 4.0. При этом атака идёт по сети. Учётные данные и участие пользователя не нужны. Однако сложность эксплуатации в записях CVE высокая, а автоматизацию SSVC исключает.
Что ломается в обработке запроса
Уязвимость CVE-2026-109618 связана с нехваткой памяти. При таком сценарии PHP аварийно выходит из текущего контекста и прекращает обработку запроса. Однако не все контексты учитывают этот случай, поэтому память запроса остаётся неинициализированной. Очистка читает такие данные и может выбрать ложную ветку выполнения. В результате разные способы исчерпать память приводят к выполнению кода.
Уязвимость CVE-2026-109619 касается глобального состояния. Также часть такого состояния временно указывает в память текущего запроса. После освобождения памяти ссылка может сохраниться или появиться снова. Следующий запрос читает устаревшие данные до полной инициализации. В результате атакующий получает тот же эффект, удалённое выполнение кода.
В записях CVE влияние на конфиденциальность, целостность и доступность высокое. В результате успешная атака позволяет читать и изменять данные на устройстве. Кроме того, возможна остановка сервисов, которые опираются на уязвимый пакет. Авторы записи отнесли ошибки к классу CAPEC-234. Отметка Siemens указывает на RUGGEDCOM APE1808.
Версии с исправлениями
Чтобы закрыть ошибки, Synology выпустила исправленные пакеты PHP для веток 7.4, 8.0, 8.1, 8.2, 8.3 и 8.4. Для DSM 6.2 нужен пакет 7.4.33-0010. На DSM 7.0 и 7.1 ставится 7.4.33-0122, а на DSM 7.2 - 7.4.33-0131. Ветка 8.0 требует 8.0.30-0104 на DSM 7.0 и 7.1. Для DSM 7.2 исправление вышло как 8.0.30-0122.
Для веток 8.1, 8.2, 8.3 и 8.4 исправления вышли как 8.1.34-0120, 8.2.35-0171, 8.3.36-0051 и 8.4.27-0051. Для PHP 7.3 исправления не будет. Эта ветка достигла конца жизненного цикла, поэтому поддержка прекращена. При этом записи CVE относят к затронутым и ветку 8.5. Актуальная сборка для неё - 8.5.12.
Пакет Mail Station обновляют до 30000002.3.19-0333 на DSM 6.2. При этом на DSM 7.0 и 7.1 нужен 30000002.3.19-10333, а на DSM 7.2 - 30000002.3.19-20333. Для Calendar вышли сборки 2.4.8-0948, 2.4.8-10948 и 3.0.4-21435. Раскладка по веткам DSM у него такая же. Hyper Backup в таблице числится незатронутым, хотя пакет добавили в бюллетень на второй ревизии.
Список затронутых пакетов расширялся по ходу разбора. Первая ревизия бюллетеня описывала меньше продуктов. После этого в неё добавили PHP 7.4 и 8.0 для старых веток DSM. Затем в список вошли Calendar и Mail Station для DSM 6.2, 7.0 и 7.1. Поэтому проверять нужно не только свежие установки.
Synology отмечает, что встроенный в систему PHP не доступен извне. Поэтому риск эксплуатации в самой DSM вендор оценивает как очень низкий. С этим расходится пометка в CISA KEV. После установки пакетов ошибки закрываются, но только в поддерживаемых ветках. Обходных мер вендор не предлагает, кроме рекомендаций проекта PHP.
Ссылки
