{"id":22083,"date":"2026-10-23T05:56:32","date_gmt":"2026-10-22T21:56:32","guid":{"rendered":"https:\/\/synopower.club\/?p=22083"},"modified":"2026-10-23T05:56:32","modified_gmt":"2026-10-22T21:56:32","slug":"synology-php2shell-emergency-patch","status":"publish","type":"post","link":"https:\/\/synopower.club\/sv\/synology-php2shell-emergency-patch\/","title":{"rendered":"PHP2Shell p\u00e5 Synology: Hur vi patchade sex webbplatser p\u00e5 en dag"},"content":{"rendered":"

PHP2Shell<\/strong> \u00e4r namnet som branschen best\u00e4mde sig f\u00f6r f\u00f6r CVE-2026-109618 och CVE-2026-109619, ett par kritiska brister i sj\u00e4lva PHP-motorn som till\u00e5ter oautentiserad fj\u00e4rrk\u00f6rning av kod. Detaljer l\u00e4ckte ut den 20 oktober 2026, en dag f\u00f6re det samordnade avsl\u00f6jandet, och PHP-projektet levererade n\u00f6dversioner den 21 oktober. Eftersom felet finns i tolken och inte i n\u00e5gon applikation, g\u00f6r en patch av WordPress, Joomla eller MediaWiki ingenting alls. Den enda riktiga l\u00f6sningen \u00e4r en ny PHP-version. Vi k\u00f6r sex offentliga WordPress-webbplatser p\u00e5 Synology-h\u00e5rdvara, och PHP2Shell innebar att var och en av dem var tvungen att byggas om samma vecka. Den h\u00e4r guiden beskriver vad felet egentligen \u00e4r, hur man patchar det p\u00e5 DSM via Paketcenter, hur man hanterar det n\u00e4r din webbplats k\u00f6rs i en container ist\u00e4llet, och den obekv\u00e4ma j\u00e4mf\u00f6relsen mellan vad Synology levererade och vad de andra NAS-leverant\u00f6rerna har lyckats med hittills.<\/p>\n\n\n\n

\n

SynoPower Club-punkt:<\/strong>V\u00e5ra sex webbplatser uppdaterades inom en arbetsdag efter att PHP2Shell-rekommendationen sl\u00e4pptes, och det som gjorde det m\u00f6jligt var inte hj\u00e4ltemod, det var att Synology publicerade fixade paket samma datum som rekommendationen. Synology-SA-26:14 publicerades den 22 oktober med statusen L\u00f6st och en komplett tabell \u00f6ver fixade versioner ner till PHP 7.4. Samma dag publicerade QNAP QSA-26-18 med statusen \u00c5tg\u00e4rdar och orden Kommer att meddelas i varje cell med fixad version, och ASUSTOR svarade genom att ta bort \u00e4ldre PHP fr\u00e5n App Central ist\u00e4llet f\u00f6r att uppdatera den. Om du sj\u00e4lv hostar en offentlig webbplats p\u00e5 en NAS \u00e4r den luckan inte en marknadsf\u00f6ringsdetalj. Det \u00e4r skillnaden mellan att uppdatera ett paket och att ta bort din webbplats fr\u00e5n internet medan du v\u00e4ntar.<\/p>\n<\/blockquote>\n\n\n\n

Vad \u00e4r PHP2Shell och varf\u00f6r det \u00e4r annorlunda<\/h2>\n\n\n\n

PHP2Shell \u00e4r inte en enda bugg utan ett kluster av relaterade minness\u00e4kerhetsfel i hur PHP rensar upp efter en beg\u00e4ran som f\u00e5tt slut p\u00e5 minne. PHP anv\u00e4nder longjmp()<\/code> f\u00f6r att undvika allvarliga fel, inklusive minnesf\u00f6rlust, och det hoppet hoppar \u00f6ver rensningskod som normalt skulle \u00e5terst\u00e4lla motorn till ett k\u00e4nt tillst\u00e5nd. En del av det tillst\u00e5ndet \u00e4r globalt och \u00f6verlever till n\u00e4sta beg\u00e4ran som hanteras av samma arbetsprocess.<\/p>\n\n\n\n

CVE-2026-109618 \u00e4r sidan d\u00e4r minnet \u00e4r slut. En specialskriven HTTP-f\u00f6rfr\u00e5gan utt\u00f6mmer minnesgr\u00e4nsen medan f\u00f6rfr\u00e5gningsdata bara delvis initieras, s\u00e5 rensningsrutinen anv\u00e4nder strukturer som aldrig slutf\u00f6rdes. CVE-2026-109619 \u00e4r sidan d\u00e4r funktionen anv\u00e4nds efter att den \u00e4r frigjord: det globala tillst\u00e5ndet som pekar p\u00e5 det frigjorda f\u00f6rfr\u00e5gningsminnet kan l\u00e4sas av en senare f\u00f6rfr\u00e5gan p\u00e5 samma arbetare, vilket \u00e4r hur felet leder till kodk\u00f6rning eller minnesavsl\u00f6jande.<\/p>\n\n\n\n

Tv\u00e5 egenskaper g\u00f6r PHP2Shell s\u00e4mre \u00e4n den vanliga PHP-rekommendationen. F\u00f6r det f\u00f6rsta \u00e4r den pre-auth. B\u00e5da bristerna utl\u00f6ses innan n\u00e5gon autentisering p\u00e5 applikationsniv\u00e5 k\u00f6rs, s\u00e5 en inloggningsv\u00e4gg, ett medlemskapsplugin eller ett administrat\u00f6rsl\u00f6senord skyddar ingenting. F\u00f6r det andra l\u00e4cker varianten av minnesavsl\u00f6jande minne i arbetsprocesser, och en PHP-arbetare p\u00e5 en WordPress-webbplats lagrar databasuppgifter, API-tokens och betalningsnycklar. En lyckad l\u00e4sning beh\u00f6ver inte n\u00e5 kodk\u00f6rning f\u00f6r att f\u00f6rst\u00f6ra din vecka.<\/p>\n\n\n\n

De tv\u00e5 PHP2Shell CVE:erna fick betyget CVSS v4.0 9.2 av PHP:s s\u00e4kerhetsteam. Synology gav dem betyget 9.8 p\u00e5 CVSS v3.1 i sin egen rekommendation. Olika skalor, samma slutsats. Exploateringsrapporterna \u00e4r blandade: watchTowr s\u00e4ger att de har sett f\u00f6rs\u00f6k mot sitt honeypot-n\u00e4tverk, medan Bitdefender inte rapporterade n\u00e5got i sin telemetri i skrivande stund, och QNAP uppger att de inte har mottagit n\u00e5gra rapporter om exploatering specifikt riktat mot QNAP-produkter.<\/p>\n\n\n\n

\"Synology-SA-26:14
Synology-SA-26:14, publicerad 22 oktober 2026 kl. 19:45 UTC+8 med statusen L\u00f6st.<\/figcaption><\/figure>\n\n\n\n

PHP2Shell kontra ett vanligt WordPress-utnyttjande<\/h2>\n\n\n\n

Det mesta som drabbar en publik WordPress-sajt \u00e4r en plugin-s\u00e5rbarhet. M\u00f6nstret \u00e4r bekant: ett plugin skickar en trasig REST-slutpunkt, en skanner hittar den, du uppdaterar pluginet och h\u00e5let st\u00e4ngs. PHP2Shell bryter den vanan helt, och reflexen att granska plugins \u00e4r bortkastad anstr\u00e4ngning h\u00e4r.<\/p>\n\n\n\n

Aspekt<\/th>Typisk CVE f\u00f6r plugin<\/th>PHP2Shell<\/th><\/tr><\/thead>
Var insekten bor<\/td>Applikationskod (plugin eller tema)<\/td>PHP-tolken sj\u00e4lv<\/td><\/tr>
Vem kan utl\u00f6sa det<\/td>Beh\u00f6ver ofta en prenumerant- eller administrat\u00f6rsroll<\/td>Ingen. F\u00f6rauktorisering, innan appens logik k\u00f6rs.<\/td><\/tr>
Hj\u00e4lper det att uppdatera WordPress<\/td>Vanligtvis ja<\/td>Nej. K\u00e4rn- och plugin-uppdateringar \u00e4r irrelevanta.<\/td><\/tr>
Stoppar en WAF det<\/td>Vanligtvis, n\u00e4r en regel v\u00e4l finns<\/td>Delvis. Regler f\u00f6r beg\u00e4randeform missar OOM-s\u00f6kv\u00e4gen.<\/td><\/tr>
Vad som egentligen fixar det<\/td>Plugin-uppdatering<\/td>En ny PHP-version, inget annat<\/td><\/tr>
Spr\u00e4ngningsradie<\/td>En webbplats, en funktion<\/td>Varje PHP-sajt p\u00e5 l\u00e5dan, p\u00e5 en g\u00e5ng<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Den sista raden \u00e4r anledningen till att PHP2Shell blev en heldags arbete snarare \u00e4n en eftermiddag. Ett enda delat PHP-paket p\u00e5 en NAS kan ligga bakom ett dussin virtuella Web Station-v\u00e4rdar, och en enda containeravbildning kan vara basen f\u00f6r flera webbplatser. Patchning sker inte per webbplats, det sker per k\u00f6rtid, och du m\u00e5ste r\u00e4kna upp k\u00f6rtiderna innan du kan h\u00e4vda att n\u00e5got \u00e4r gjort.<\/p>\n\n\n\n

Hur man vet om din NAS \u00e4r exponerad<\/h2>\n\n\n\n

Att utreda din PHP2Shell-exponering b\u00f6rjar med att skilja p\u00e5 tv\u00e5 olika fr\u00e5gor. Inneh\u00e5ller boxen en s\u00e5rbar PHP-bygge, och \u00e4r den byggen n\u00e5bar fr\u00e5n internet? Synology g\u00f6r denna \u00e5tskillnad explicit: DSM levererar en intern PHP-komponent som anv\u00e4nds av operativsystemet, och Synology uppger att den inte har n\u00e5gra externt \u00e5tkomliga moduler och d\u00e4rf\u00f6r ingen exponerad attackyta. Risken som den tilldelar den komponenten \u00e4r minimal, och patchen \u00e4r schemalagd f\u00f6r en senare DSM-release s\u00e5 att s\u00e5rbarhetsskanningar slutar flagga den.<\/p>\n\n\n\n

Paketen som \u00e4r viktiga f\u00f6r PHP2Shell \u00e4r de som levererar PHP till webben. Synology listar Kalender, IDrive, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station och WordPress. Om du har n\u00e5got av dessa installerat och tillg\u00e4ngligt, omfattas du av detta.<\/p>\n\n\n\n

Kontrollera versioner direkt ist\u00e4llet f\u00f6r att lita p\u00e5 en instrumentpanel. I Paketcenter visas de installerade PHP-paketen sin version p\u00e5 panelen, och uppdateringsmeddelandet namnger m\u00e5lversionen. Fr\u00e5ga sj\u00e4lva k\u00f6rningsmilj\u00f6n fr\u00e5n ett shell:<\/p>\n\n\n\n

# Synology PHP-paket (justera s\u00f6kv\u00e4gen till den version du k\u00f6r) \/volume1\/@appstore\/PHP8.2\/usr\/local\/bin\/php -v # En containeriserad webbplats-docker-exekvering php -v<\/code><\/pre>\n\n\n\n
Anledningen att insistera p\u00e5 php -v<\/code> N\u00e4r man granskar PHP2Shell \u00e4r det s\u00e5 att alla andra signaler ljuger. Byggresultat kan rapportera framg\u00e5ng vid \u00e5teranv\u00e4ndning av ett cachat lager, en instrumentpanel kan visa ett paket som aktuellt n\u00e4r den k\u00f6rande arbetaren inte \u00e4r det, och en HTTP-svarsrubrik kan tas bort av ett CDN innan man ens ser den. Tv\u00e5 av v\u00e5ra sex webbplatser rapporterades som felfria av sina administrat\u00f6rssk\u00e4rmar medan de fortfarande k\u00f6rde en opatchad interpreter.<\/p>\n\n\n\n
Patcha PHP2Shell p\u00e5 Synology i 4 steg<\/h2>\n\n\n\n
F\u00f6r en Web Station-webbplats p\u00e5 DSM \u00e4r hela PHP2Shell-fixen en uppdatering av Paketcenter. Synology publicerar PHP-s\u00e4kerhetsuppdateringar f\u00f6r DSM 7.4, 7.3 och 7.2, och efter att PHP-paketet uppdaterats startar de beroende paketen om sig sj\u00e4lva, vilket \u00e4r det som l\u00f6ser problemet. Mail Station \u00e4r det dokumenterade undantaget och beh\u00f6ver en egen manuell uppdatering.<\/p>\n\n\n
\n
\n\n<\/div>\n\n
\n
\n
Kontrollera r\u00e5dgivningen<\/h3>\n
\u00d6ppna Synology-SA-26:14 och anteckna den fixade versionen f\u00f6r varje PHP-gren du har installerat. M\u00e5len \u00e4r 7.4.33-0131, 8.0.30-0122, 8.1.34-0120, 8.2.35-0171, 8.3.36-0051 och 8.4.27-0051. PHP 7.3 har ingen fix eftersom den \u00e4r i slutet av sin livscykel.<\/p>\n<\/div>\n<\/div>\n
\n
Uppdatera via Paketcenter<\/h3>\n
I DSM \u00f6ppnar du Paketcenter och tittar p\u00e5 Installerat. Varje s\u00e5rbart PHP-paket visar Uppdatering tillg\u00e4nglig med den nya onlineversionen. Klicka p\u00e5 Uppdatera p\u00e5 varje PHP-gren som listas och uppdatera Synology Kalender och Mail Station om du har dem.<\/p>\n<\/div>\n<\/div>\n
\n
L\u00e5t de anh\u00f6riga starta om<\/h3>\n
Paket som \u00e4r beroende av PHP startas om automatiskt n\u00e4r PHP-paketet har uppdaterats, och det \u00e4r den omstarten som aktiverar korrigeringen. Mail Station \u00e4r undantaget och m\u00e5ste uppdateras manuellt fr\u00e5n Paketcenter.<\/p>\n<\/div>\n<\/div>\n
\n
Verifiera den k\u00f6rande tolken<\/h3>\n
Lita inte p\u00e5 instrumentpanelen. K\u00f6r php -v mot paketets s\u00f6kv\u00e4g eller inuti beh\u00e5llaren och bekr\u00e4fta att byggnumret matchar rekommendationen. Kontrollera sedan att varje virtuell v\u00e4rd f\u00f6r Web Station \u00e4r bunden till en profil som du faktiskt uppdaterat.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n
\"Synology
Paketcenter som erbjuder PHP 8.2.35-0171, den version som n\u00e4mns i meddelandet.<\/figcaption><\/figure>\n\n\n\n
Sk\u00e4rmdumpen ovan \u00e4r fr\u00e5n en av v\u00e5ra egna maskiner morgonen efter PHP2Shell-meddelandet. Observera att panelen "Nyheter" namnger uppstr\u00f6msversionen direkt, s\u00e5 att du kan matcha Synology-byggsuffixet med PHP-utg\u00e5van utan att gissa. Synology-kalendern visas i samma uppdateringslista vid 3.0.4-21435, vilket \u00e4r exakt den version som meddelandet kr\u00e4ver.<\/p>\n\n\n\n
\"Synology
Uppdateringsdialogrutan med namnet PHP 8.2.35-0171, publicerad av Synology Inc.<\/figcaption><\/figure>\n\n\n\n
En PHP2Shell-f\u00e4lla v\u00e4rd att namnge f\u00f6r Web Station-anv\u00e4ndare: en DSM-maskin kan ha flera PHP-grenar installerade samtidigt, och varje virtuell v\u00e4rd \u00e4r bunden till en profil. Att uppdatera standardprofilen hj\u00e4lper inte en webbplats som \u00e4r f\u00e4st vid en annan gren. R\u00e4kna upp profilerna f\u00f6rst, uppdatera alla och kontrollera sedan bindningen f\u00f6r varje webbplats under Webbtj\u00e4nst.<\/p>\n\n\n\n
Vilka DSM-paket p\u00e5verkas<\/h2>\n\n\n\n
Synology-satsen p\u00e5 PHP2Shell \u00e4r sn\u00e4vare \u00e4n vad paniken antydde. Endast system som k\u00f6r vissa PHP-beroende paket p\u00e5verkas, och Synology Drive \u00e4r uttryckligen inte ett av dem. IDrive finns med p\u00e5 listan men \u00e4r tredjepartsprogramvara.<\/p>\n\n\n\n