{"id":22083,"date":"2026-10-23T05:56:32","date_gmt":"2026-10-22T21:56:32","guid":{"rendered":"https:\/\/synopower.club\/?p=22083"},"modified":"2026-10-23T05:56:32","modified_gmt":"2026-10-22T21:56:32","slug":"synology-php2shell-emergency-patch","status":"publish","type":"post","link":"https:\/\/synopower.club\/nb\/synology-php2shell-emergency-patch\/","title":{"rendered":"PHP2Shell p\u00e5 Synology: Hvordan vi oppdaterte seks nettsteder p\u00e5 \u00e9n dag"},"content":{"rendered":"

PHP2Shell<\/strong> er navnet bransjen bestemte seg for for CVE-2026-109618 og CVE-2026-109619, et par kritiske feil i selve PHP-motoren som tillater uautorisert ekstern kj\u00f8ring av kode. Detaljer lekket 20. oktober 2026, dagen f\u00f8r den koordinerte avsl\u00f8ringen, og PHP-prosjektet sendte ut n\u00f8dutgivelser 21. oktober. Fordi feilen befinner seg i tolken og ikke i noen applikasjon, gj\u00f8r det ingenting \u00e5 oppdatere WordPress, Joomla eller MediaWiki. Den eneste virkelige l\u00f8sningen er en ny PHP-bygg. Vi kj\u00f8rer seks offentlige WordPress-nettsteder p\u00e5 Synology-maskinvare, og PHP2Shell betydde at alle m\u00e5tte bygges opp igjen samme uke. Denne veiledningen dekker hva feilen egentlig er, hvordan du oppdaterer den p\u00e5 DSM gjennom Pakkesenteret, hvordan du h\u00e5ndterer den n\u00e5r nettstedet ditt kj\u00f8rer i en container i stedet, og den ubehagelige sammenligningen mellom det Synology leverte og det de andre NAS-leverand\u00f8rene har klart s\u00e5 langt.<\/p>\n\n\n\n

\n

SynoPower Club-punkt:<\/strong>V\u00e5re seks nettsteder ble oppdatert innen \u00e9n virkedag etter at PHP2Shell-veiledningen kom, og den delen som gjorde det mulig var ikke heltemot, det var Synology som publiserte fiksede pakker p\u00e5 samme dato som veiledningen. Synology-SA-26:14 ble publisert 22. oktober med status L\u00f8st og en komplett tabell over fiksede versjoner ned til PHP 7.4. Samme dag publiserte QNAP QSA-26-18 med status Fiksing og ordene Skal annonseres i hver eneste celle med fiksede versjoner, og ASUSTOR svarte ved \u00e5 slette eldre PHP fra App Central i stedet for \u00e5 oppdatere den. Hvis du selv er vert for et offentlig nettsted p\u00e5 en NAS, er ikke dette gapet en markedsf\u00f8ringsdetalj. Det er forskjellen mellom \u00e5 oppdatere en pakke og \u00e5 fjerne nettstedet ditt fra internett mens du venter.<\/p>\n<\/blockquote>\n\n\n\n

Hva er PHP2Shell og hvorfor det er annerledes<\/h2>\n\n\n\n

PHP2Shell er ikke \u00e9n feil, men en klynge av relaterte minnesikkerhetsfeil i hvordan PHP rydder opp etter en foresp\u00f8rsel som gikk tom for minne. PHP bruker longjmp()<\/code> for \u00e5 unng\u00e5 fatale feil, inkludert minnebrist, og det hoppet hopper over oppryddingskode som normalt ville satt motoren tilbake til en kjent tilstand. Noe av denne tilstanden er global og overlever til neste foresp\u00f8rsel som h\u00e5ndteres av den samme arbeidsprosessen.<\/p>\n\n\n\n

CVE-2026-109618 er siden med lite minne. En h\u00e5ndlaget HTTP-foresp\u00f8rsel utnytter minnegrensen mens foresp\u00f8rselsdata bare delvis initialiseres, slik at oppryddingsrutinen g\u00e5r gjennom strukturer som aldri ble fullf\u00f8rt. CVE-2026-109619 er siden med bruk etter frigj\u00f8ring: global tilstand som peker mot frigjort foresp\u00f8rselsminne kan leses av en senere foresp\u00f8rsel p\u00e5 samme arbeider, og det er slik feilen blir til kodeutf\u00f8relse eller minneavsl\u00f8ring.<\/p>\n\n\n\n

To egenskaper gj\u00f8r PHP2Shell verre enn den vanlige PHP-veiledningen. For det f\u00f8rste er den pre-auth. Begge feilene utl\u00f8ses f\u00f8r noen autentisering p\u00e5 applikasjonsniv\u00e5 kj\u00f8rer, s\u00e5 en p\u00e5loggingsvegg, en medlemskapsplugin eller et administratorpassord beskytter ingenting. For det andre lekker minneavsl\u00f8ringsvarianten arbeidsprosessminne, og en PHP-arbeider p\u00e5 et WordPress-nettsted inneholder databaselegitimasjon, API-tokens og betalingsn\u00f8kler. En vellykket lesing trenger ikke \u00e5 n\u00e5 kodekj\u00f8ring for \u00e5 \u00f8delegge uken din.<\/p>\n\n\n\n

De to PHP2Shell CVE-ene ble scoret til CVSS v4.0 9.2 av PHP-sikkerhetsteamet. Synology scoret dem 9.8 p\u00e5 CVSS v3.1 i sin egen r\u00e5dgivning. Ulike skalaer, samme konklusjon. Rapporter om utnyttelse er blandede: watchTowr sier at de har sett fors\u00f8k mot sitt honeypot-nettverk, mens Bitdefender ikke rapporterte noe i sin telemetri i skrivende stund, og QNAP oppgir at de ikke har mottatt noen rapporter om utnyttelse spesifikt rettet mot QNAP-produkter.<\/p>\n\n\n\n

\"Synology-SA-26:14
Synology-SA-26:14, publisert 22. oktober 2026 kl. 19:45 UTC+8 med status L\u00f8st.<\/figcaption><\/figure>\n\n\n\n

PHP2Shell vs. en vanlig WordPress-utnyttelse<\/h2>\n\n\n\n

Det meste av det som treffer et offentlig WordPress-nettsted er en plugin-s\u00e5rbarhet. M\u00f8nsteret er kjent: en plugin sender et \u00f8delagt REST-endepunkt, en skanner finner det, du oppdaterer plugin-en, og hullet lukkes. PHP2Shell bryter den vanen fullstendig, og refleksen med \u00e5 revidere pluginer er bortkastet innsats her.<\/p>\n\n\n\n

Aspekt<\/th>Typisk CVE for plugin-moduler<\/th>PHP2Shell<\/th><\/tr><\/thead>
Hvor insektet bor<\/td>Applikasjonskode (plugin eller tema)<\/td>Selve PHP-tolkeren<\/td><\/tr>
Hvem kan utl\u00f8se det<\/td>Trenger ofte en abonnent- eller administratorrolle<\/td>Ingen. Forh\u00e5ndsgodkjenning, f\u00f8r applogikken kj\u00f8rer<\/td><\/tr>
Hjelper det \u00e5 oppdatere WordPress<\/td>Vanligvis ja<\/td>Nei. Kjerne- og plugin-oppdateringer er irrelevante.<\/td><\/tr>
Stopper en WAF det<\/td>Vanligvis, n\u00e5r en regel f\u00f8rst finnes<\/td>Delvis. Foresp\u00f8rselsformregler g\u00e5r glipp av OOM-banen.<\/td><\/tr>
Hva som egentlig fikser det<\/td>Plugin-oppdatering<\/td>En ny PHP-versjon, ingenting annet<\/td><\/tr>
Eksplosjonsradius<\/td>Ett nettsted, \u00e9n funksjon<\/td>Alle PHP-nettsteder p\u00e5 boksen, samtidig<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Den siste raden er grunnen til at PHP2Shell ble til en hel arbeidsdag i stedet for en ettermiddag. En enkelt delt PHP-pakke p\u00e5 en NAS kan ligge bak et dusin virtuelle Web Station-verter, og et enkelt containerbilde kan v\u00e6re basen for flere nettsteder. Oppdatering er ikke per nettsted, det er per kj\u00f8retid, og du m\u00e5 liste opp kj\u00f8retidene f\u00f8r du kan hevde at noe er gjort.<\/p>\n\n\n\n

Slik vet du om NAS-en din er eksponert<\/h2>\n\n\n\n

\u00c5 finne ut av PHP2Shell-eksponeringen din starter med \u00e5 skille mellom to forskjellige sp\u00f8rsm\u00e5l. Inneholder boksen en s\u00e5rbar PHP-bygg, og er den bygget tilgjengelig fra internett? Synology skiller eksplisitt mellom dette: DSM leverer en intern PHP-komponent som brukes av operativsystemet, og Synology oppgir at den ikke har noen eksternt tilgjengelige moduler og derfor ingen eksponert angrepsflate. Risikoen den tilordner til den komponenten er minimal, og oppdateringen er planlagt for en senere DSM-utgivelse slik at s\u00e5rbarhetsskanninger slutter \u00e5 flagge den.<\/p>\n\n\n\n

Pakkene som er viktige for PHP2Shell er de som leverer PHP til nettet. Synology lister opp Kalender, IDrive, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station og WordPress. Hvis du har noen av disse installert og tilgjengelige, er du innenfor rammen.<\/p>\n\n\n\n

Sjekk versjoner direkte i stedet for \u00e5 stole p\u00e5 et dashbord. I Pakkesenteret viser de installerte PHP-pakkene versjonen sin p\u00e5 flisen, og oppdateringsvarselet navngir m\u00e5lbygget. Fra et skall, sp\u00f8r selve kj\u00f8retidsprogrammet:<\/p>\n\n\n\n

# Synology PHP-pakke (juster banen til versjonen du kj\u00f8rer) \/volume1\/@appstore\/PHP8.2\/usr\/local\/bin\/php -v # En containerisert nettstedsdocker-eksekversjon php -v<\/code><\/pre>\n\n\n\n
Grunnen til \u00e5 insistere p\u00e5 php -v<\/code> N\u00e5r du reviderer for PHP2Shell, er det at alle andre signaler lyver. Byggeutdata kan rapportere suksess ved gjenbruk av et hurtigbufret lag, et dashbord kan vise en pakke som aktuell n\u00e5r den kj\u00f8rende arbeideren ikke er det, og en HTTP-svarheader kan fjernes av et CDN f\u00f8r du i det hele tatt ser den. To av v\u00e5re seks nettsteder ble rapportert som sunne av administratorskjermene sine mens de fortsatt kj\u00f8rte en uoppdatert tolk.<\/p>\n\n\n\n
Oppdatering av PHP2Shell p\u00e5 Synology i 4 trinn<\/h2>\n\n\n\n
For et Web Station-nettsted p\u00e5 DSM er hele PHP2Shell-fiksen en Pakkesenteroppdatering. Synology publiserer PHP-sikkerhetsoppdateringer for DSM 7.4, 7.3 og 7.2, og etter at PHP-pakkeoppdateringene starter de avhengige pakkene p\u00e5 nytt, noe som l\u00f8ser problemet. Mail Station er det dokumenterte unntaket og trenger en egen manuell oppdatering.<\/p>\n\n\n
\n
\n\n<\/div>\n\n
\n
\n
Sjekk r\u00e5dgivingen<\/h3>\n
\u00c5pne Synology-SA-26:14 og noter den fiksede versjonen for hver PHP-gren du har installert. M\u00e5lene er 7.4.33-0131, 8.0.30-0122, 8.1.34-0120, 8.2.35-0171, 8.3.36-0051 og 8.4.27-0051. PHP 7.3 har ingen fiks fordi den er utg\u00e5tt p\u00e5 dato.<\/p>\n<\/div>\n<\/div>\n
\n
Oppdater via pakkesenteret<\/h3>\n
I DSM \u00e5pner du Pakkesenteret og ser p\u00e5 Installert. Hver s\u00e5rbar PHP-pakke viser Oppdatering tilgjengelig med den nye onlineversjonen. Klikk p\u00e5 Oppdater p\u00e5 hver PHP-gren som er oppf\u00f8rt, og oppdater Synology Kalender og Mail Station hvis du har dem.<\/p>\n<\/div>\n<\/div>\n
\n
La de p\u00e5r\u00f8rende starte p\u00e5 nytt<\/h3>\n
Pakker som er avhengige av PHP, starter automatisk p\u00e5 nytt n\u00e5r PHP-pakken er ferdig oppdatert, og det er denne omstarten som setter i kraft rettelsen. Mail Station er unntaket og m\u00e5 oppdateres manuelt fra Pakkesenteret.<\/p>\n<\/div>\n<\/div>\n
\n
Bekreft den kj\u00f8rende tolken<\/h3>\n
Ikke stol p\u00e5 dashbordet. Kj\u00f8r php -v mot pakkebanen eller inne i beholderen, og bekreft at byggenummeret samsvarer med veiledningen. Sjekk deretter at hver virtuelle Web Station-vert er bundet til en profil du faktisk har oppdatert.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n
\"Synology
Pakkesenteret tilbyr PHP 8.2.35-0171, byggingen som er nevnt i veiledningen.<\/figcaption><\/figure>\n\n\n\n
Skjermbildet ovenfor er fra en av v\u00e5re egne maskiner morgenen etter PHP2Shell-veiledningen. Merk at "What is New"-panelet navngir oppstr\u00f8msversjonen direkte, slik at du kan matche Synology-byggesuffikset med PHP-utgivelsen uten \u00e5 gjette. Synology-kalenderen vises i den samme oppdateringslisten p\u00e5 3.0.4-21435, som er n\u00f8yaktig den versjonen veiledningen ber om.<\/p>\n\n\n\n
\"Synology
Oppdateringsdialogboksen med navnet PHP 8.2.35-0171, publisert av Synology Inc.<\/figcaption><\/figure>\n\n\n\n
En PHP2Shell-felle som er verdt \u00e5 nevne for Web Station-brukere: en DSM-maskin kan ha flere PHP-grener installert samtidig, og hver virtuelle vert er bundet til \u00e9n profil. \u00c5 oppdatere standardprofilen hjelper ikke et nettsted som er festet til en annen gren. List opp profilene f\u00f8rst, oppdater alle, og sjekk deretter bindingen til hvert nettsted under Web Service.<\/p>\n\n\n\n
Hvilke DSM-pakker er ber\u00f8rt<\/h2>\n\n\n\n
Synology-setningen p\u00e5 PHP2Shell er smalere enn panikken antydet. Bare systemer som kj\u00f8rer visse PHP-avhengige pakker er ber\u00f8rt, og Synology Drive er eksplisitt ikke en av dem. IDrive er p\u00e5 listen, men er tredjepartsprogramvare.<\/p>\n\n\n\n