Retrouvez tous nos conseils dans notre rubrique PC et Cie.
Une faille baptisée PHP2Shell
Synology, le géant taïwanais des serveurs de stockage NAS très présent dans les foyers français, a publié un avis de sécurité officiel concernant une faille baptisée PHP2Shell, référencée sous les identifiants CVE-2026-109618 et CVE-2026-109619. L’entreprise invite l’ensemble de ses utilisateurs à vérifier sans tarder l’état de leurs mises à jour.
Qui est concerné exactement
Selon le communiqué publié par Synology, l’impact de cette vulnérabilité se limite aux systèmes qui exécutent certains paquets dépendants de PHP, comme WordPress, phpMyAdmin ou encore Web Station, des applications fréquemment installées par les particuliers et les petites structures pour héberger un site internet directement depuis leur NAS.
Les versions touchées
- DSM 7.4, la version actuelle du système d’exploitation Synology
- DSM 7.3
- DSM 7.2, désormais en fin de vie commerciale
Des correctifs déjà disponibles
Synology a réagi rapidement en mettant à disposition des correctifs PHP pour DSM 7.4 et DSM 7.3. Pour DSM 7.2, dont le support technique touche à sa fin, la marque recommande vivement une migration vers une version plus récente afin de continuer à bénéficier des mises à jour de sécurité. L’avis de référence officiel porte la mention Synology-SA-26:14.
Pourquoi cette annonce inquiète particulièrement
Les NAS Synology ne sont pas de simples disques durs connectés au réseau : ils hébergent souvent des données personnelles sensibles, des sauvegardes complètes d’ordinateurs familiaux, voire des sites web ou des services accessibles depuis l’extérieur du domicile. Une faille exploitable à distance sur ce type d’équipement représente donc un risque bien réel, en particulier pour les utilisateurs qui exposent certains services directement sur internet.
Ce qu’il faut faire immédiatement
- Vérifier la version de DSM installée depuis le Panneau de configuration de l’appareil
- Installer sans attendre les correctifs PHP disponibles pour DSM 7.4 et 7.3
- Planifier une migration si l’appareil fonctionne encore sous DSM 7.2
- Désactiver les paquets PHP non utilisés pour réduire la surface d’exposition
Ce qu’il faut retenir
- La faille PHP2Shell touche les NAS Synology utilisant des paquets dépendants de PHP
- Deux identifiants officiels, CVE-2026-109618 et CVE-2026-109619, référencent cette vulnérabilité
- Des correctifs existent déjà pour DSM 7.4 et DSM 7.3
- Les utilisateurs de DSM 7.2 doivent envisager une mise à niveau rapide