Vulnerabilidades y Avisos de Seguridad: Impacto de vulnerabilidades críticas de PHP en productos de Synology

Resumen de la alerta

Synology ha publicado actualizaciones para corregir dos vulnerabilidades críticas de PHP que afectan a distintos paquetes de DSM, incluidos Mail Station, Synology Calendar y varias ramas del paquete PHP.

Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, podrían permitir la ejecución remota de código si fueran explotados con éxito. Este tipo de impacto implica que un atacante podría llegar a ejecutar instrucciones en el sistema afectado.

El aviso está clasificado con severidad crítica. La información disponible no define un estado de explotación, por lo que no debe interpretarse como confirmación de ataques activos. No obstante, las organizaciones que utilicen los paquetes afectados deberían priorizar la revisión y actualización de sus entornos DSM.

Recursos afectados

Están afectados los siguientes paquetes de Synology DSM cuando se encuentran en versiones anteriores a las publicadas como corregidas:

• PHP 7.4.
• PHP 8.0.
• PHP 8.1.
• PHP 8.2.
• PHP 8.3.
• PHP 8.4.
• Mail Station.
• Synology Calendar.

También se ve afectado PHP 7.3. Esta rama ha finalizado su ciclo de vida y no dispone de una actualización correctiva.

Descripción de las vulnerabilidades

Las dos vulnerabilidades se localizan en el tratamiento de la memoria y del estado interno de PHP durante el procesamiento de peticiones. En ambos casos, el problema podría provocar que PHP opere con información que no se encuentra en un estado válido, con el riesgo potencial de derivar en ejecución remota de código.

• CVE-2026-109618: un agotamiento de memoria durante una petición puede dejar estructuras internas de PHP parcialmente inicializadas. Si estas estructuras se utilizaran posteriormente, podría ser posible ejecutar código de forma remota.
• CVE-2026-109619: el estado global de PHP puede conservar referencias a memoria que ya ha sido liberada y volver a utilizarlas en una petición posterior. Esta situación también podría permitir ejecución remota de código.

Synology indica que el riesgo asociado al PHP integrado en el sistema operativo es muy bajo, ya que no está expuesto a una superficie de ataque externa.

Impacto y nivel de riesgo

La explotación satisfactoria de cualquiera de estas vulnerabilidades podría permitir la ejecución remota de código. Por su naturaleza, este escenario debe tratarse como una prioridad de seguridad para los sistemas que utilicen los paquetes PHP, Mail Station o Synology Calendar en versiones vulnerables.

El impacto descrito es potencial: la información disponible identifica las vulnerabilidades y su severidad crítica, pero no aporta confirmación de explotación activa, ataques observados ni un método concreto de explotación.

Solución y medidas recomendadas

Synology ha publicado versiones corregidas para los paquetes que continúan contando con soporte. Se recomienda actualizar, como mínimo, a las siguientes versiones o a posteriores:

• Synology Calendar: 3.0.4-21435.
• Mail Station: 30000002.3.19-20333.
• PHP 7.4: 7.4.33-0131.
• PHP 8.0: 8.0.30-0122.
• PHP 8.1: 8.1.34-0120.
• PHP 8.2: 8.2.35-0171.
• PHP 8.3: 8.3.36-0051.
• PHP 8.4: 8.4.27-0051.

Para los entornos que aún dependan de PHP 7.3, la medida indicada es sustituir esta rama por una versión de PHP con soporte y corregida, verificando previamente la compatibilidad de las aplicaciones instaladas.

También debe consultarse el boletín de Synology Synology-SA-26:14 PHP2Shell para revisar las actualizaciones aplicables al entorno concreto.

Recomendaciones para organizaciones afectadas

1. Identificar los dispositivos Synology que tengan instalados Mail Station, Synology Calendar o cualquiera de las ramas de PHP afectadas.
2. Comprobar las versiones instaladas y priorizar la actualización de los paquetes que estén por debajo de las versiones corregidas.
3. Planificar la migración de PHP 7.3 a una rama compatible con soporte, dado que no existe corrección para esta versión.
4. Validar la compatibilidad de las aplicaciones que dependan de PHP antes de sustituir versiones obsoletas o aplicar cambios de rama.
5. Revisar el boletín de seguridad del fabricante para confirmar las actualizaciones disponibles para cada paquete y dispositivo.