Impacto de vulnerabilidades críticas de PHP en productos de Synology

Fecha de publicación 23/10/2026

Identificador

INCIBE-2026-774

Importancia

5 - Crítica

Recursos Afectados

Los siguientes paquetes de DSM, en versiones anteriores a las corregidas:

PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3 y PHP 8.4.
Mail Station.
Synology Calendar.

PHP 7.3 también está afectado y no dispone de corrección por haber finalizado su vida útil.

Descripción

[AVISO PRELIMINAR]

Synology ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios paquetes de DSM y podrían permitir la ejecución remota de código. El fabricante ha publicado versiones corregidas para los paquetes con soporte.

Solución

Actualizar a las siguientes versiones corregidas o posteriores:

Synology Calendar: 3.0.4-21435.
Mail Station: 30000002.3.19-20333.
PHP 7.4: 7.4.33-0131.
PHP 8.0: 8.0.30-0122.
PHP 8.1: 8.1.34-0120.
PHP 8.2: 8.2.35-0171.
PHP 8.3: 8.3.36-0051.
PHP 8.4: 8.4.27-0051.

Sustituir PHP 7.3 por una rama con soporte y corregida, comprobando la compatibilidad de las aplicaciones.

Consultar el boletín de Synology para obtener las actualizaciones correspondientes.

Detalle

CVE-2026-109618: el agotamiento de memoria durante una petición puede dejar estructuras internas de PHP parcialmente inicializadas. Su utilización posterior podría permitir la ejecución remota de código.
CVE-2026-109619: el estado global de PHP puede mantener referencias a memoria ya liberada y utilizarlas en otra petición, lo que podría permitir la ejecución remota de código.

Synology considera muy bajo el riesgo del PHP integrado en el sistema operativo, que no está expuesto a una superficie de ataque externa.

CVE