SynologyとQNAPのNASはPHPの脆弱性（PHP2Shell）の影響を受けるか

MacWindows更新 2026-10-31

SynologyとQNAPは、2026年10月21日に公表されたPHPの2件の深刻な脆弱性（PHP2Shell）について、10月22日にそれぞれアドバイザリを出しました。2026年10月23日時点で、Synologyの修正版はパッケージセンターで配布されています。QNAPはまだで、修正版は「To be announced（未定）」とされ、それまでの間NASをインターネットから切り離す手順が示されています。

要点

Synologyをお使いなら、パッケージセンターの[インストール済み]を開き、PHPのパッケージ、Synology Calendar、Mail Stationを中心にすべて更新してください。DSMに組み込まれたPHPのリスクは非常に低いとされています。QNAPは2026年10月23日時点で修正版がないため、ポート転送とUPnPを無効にし、外からの接続はVPN経由にしてください。

SynologyのNASはPHP2Shellの影響を受けますか

入れているパッケージによります。Synologyのアドバイザリ「Synology-SA-26:14」（2026年10月22日公開）は深刻度をCritical、状態をResolved（解決済み）としています。複数の脆弱性によって、リモートの攻撃者が特定のDSMパッケージを通じて任意のコードを実行できるおそれがある、という内容です。一方で、OSに組み込まれたPHPは外部からの攻撃面にさらされておらず、悪用のリスクは非常に低いとも書かれています。

つまり、Synologyが問題にしているのはDSM本体ではなく、パッケージセンターから追加したパッケージです。2026年10月23日時点で、アドバイザリに載っている修正版は次のとおりです。

Synology Calendar：3.0.4-21435以降
Mail Station：30000002.3.19-20333以降
PHP 7.4：7.4.33-0131以降
PHP 8.0：8.0.30-0122以降
PHP 8.1：8.1.34-0120以降
PHP 8.2：8.2.35-0171以降
PHP 8.3：8.3.36-0051以降
PHP 8.4：8.4.27-0051以降

PHP 7.3のパッケージについては、サポートが終了しているため修正版は提供されない、とSynologyは書いています。

Synologyでパッケージを更新するには

Synologyのヘルプは、パッケージを常に最新の状態に保つことがNASを良い状態に保つための最良の方法だとしています。更新は[インストール済み]の一覧から行います。

ブラウザでDSMにサインインし、パッケージセンターを開きます。
左側のパネルで[インストール済み]をクリックします。更新があるパッケージがここに表示されます。
各パッケージの[更新]をクリックするか、[すべて更新]でまとめて更新します。
更新後のバージョンを上の一覧と照らし合わせます。PHPのパッケージは特に確認してください。
今後の更新の受け取り方は、パッケージセンターの[設定] > [自動更新]で選べます。
更新が出たときに知らせてほしい場合は、[設定] > [全般] > [通知]でチェックボックスを選び、[OK]をクリックします。

SynologyのNASにPHPは必要ですか

DSMには組み込みのPHPがあり、Synologyはこちらのリスクを非常に低いとしています。PHP 7.4から8.4のパッケージはそれとは別物で、ご自身か、インストールしたほかのパッケージが追加した場合にだけ[インストール済み]に表示されます。

パッケージセンターを開き、[インストール済み]をクリックします。
「PHP」とバージョン番号が付いたパッケージがないか見ます。
Web Stationでウェブサイトを公開している場合、SynologyはWeb Stationの設定でPHPプロファイルをPHP 8.1または8.2に切り替えるよう案内しています。PHP 7.3、7.4、8.0で動かしているサイトが対象です。
一覧にあるPHPパッケージは、すべて修正版に更新します。

パッケージは、クリックしてドロップダウンメニューから[アンインストール]を選ぶと削除できます。使っていないもののためにPHPを入れていた場合の選択肢ですが、ほかのパッケージがそれを使っていないか先に確かめてください。

QNAPのNASは影響を受けますか

対象のバージョンなら受けます。QNAPのアドバイザリ「QSA-26-18」（2026年10月22日公開、深刻度Critical）は、影響を受ける製品として次を挙げています。2026年10月23日時点では、どれも状態が「Fixing（修正中）」、修正版は「To be announced（未定）」です。

QTS 6.1.0、およびQTS 5.2.11以前
QuTS hero h6.1.0、h6.0.x、およびh5.2.11以前
QuTScloud c5.2.9以前
Note Station 3 バージョン3.9.14以前

ほかにQNE (ADRA) 1.0.7以前、ARM32モデルのQVR Surveillance 3.0.3以前、TVR OS 1.0.4以前、QuMagie 2.10.1以前の名前もあります。悪用については、2026年10月23日時点でQNAPは、PHPに対する悪用の試みが公に報告されている一方、QNAP製品を狙った悪用の報告は受けていない、と書いています。修正版が出るとアドバイザリの内容が変わる可能性があるので、頼る前にもう一度ページを確認してください。

QNAPは修正版が出るまでどうすればいいですか

QNAPは、修正版が出るまではNASをインターネットから切り離すことが最も効果的な保護策だとしています。以下の手順は露出を減らすもので、脆弱性そのものを直すわけではありません。メニュー名はアドバイザリの英語表記のままです。

ルーターで、NASへのポート転送とUPnPを無効にします。
NASの「myQNAPcloud > Auto Router Configuration」で、UPnPによるポート転送を無効にします。
不要なら、myQNAPcloud Linkを無効にし、「myQNAPcloud > Publish Services」でサービスの公開を止めます。
外から接続するときは、ウェブのポートを開けずに、QVPN ServiceかルーターのVPNを使います。
QuFirewall、または「Control Panel > System > Security > Allow/Deny List」で、管理用ポート（初期設定は8080と443）への接続を信頼できるネットワークかVPNのアドレスだけに絞ります。
App Centerで、使っていない対象アプリを停止します。アンインストールする場合は、先に設定とデータをバックアップしてください。
ウェブサーバーを使っていなければ、「Control Panel > Applications > Web Server」で無効にします。

QNAPによると、アプリの停止やウェブサーバーの無効化では、NAS自体の管理画面は守れません。インターネットからの切り離し、VPN、管理用ポートの制限（ここでの手順1から5）が主な保護策です。

すでに侵入されたかもしれないと思ったら

QNAPは自社製品向けに具体的な手順を示しています。また、JPCERT/CCは今回の注意喚起で、ログなどに攻撃の痕跡が見つからない場合でも、攻撃を受けていないと断定することはできない、と書いています。更新しても、攻撃者がすでに仕掛けたものが消えるわけではありません。

QNAPでは、QuLog Centerで見覚えのないログインやアクセスがないか確認します。
Security CenterとMalware Removerを、最新の定義で実行します。
侵入が疑われる場合、QNAPはデバイスをネットワークから外し、すべてのパスワードを変更し、QNAPサポートに連絡するよう案内しています。

よくある質問

DSMを更新すればSynologyのPHP2Shellは直りますか

2026年10月23日時点のSynologyのアドバイザリが示しているのは、DSMの更新ではなくパッケージの修正版です。DSMに組み込まれたPHPのリスクは非常に低いとしています。対処はパッケージセンターでのパッケージ更新です。

QNAPの修正版はいつ出ますか

QNAPは日付を示していません。2026年10月23日時点で、アドバイザリは最初の版のままで、対象製品はすべて「Fixing」、修正版は「To be announced」です。日付やバージョンは変わる可能性があるので、QSA-26-18を改めて確認してください。

Container Stationのコンテナ内のPHPも更新されますか

QNAPの更新では更新されません。QNAPは、Container Stationで動くコンテナやサードパーティのアプリに含まれるPHPは対象外だとし、修正版はイメージやアプリの提供元に問い合わせるよう案内しています。Synologyのアドバイザリにはコンテナへの言及はありません。

インターネットにつないでいないNASも危ないですか

QNAPは、修正版が出るまではインターネットから切り離すことが最も効果的な保護策だとしています。同時に、接続を信頼できるネットワークに絞っても、家庭内ですでに乗っ取られている機器からは守れない、とも書いています。

PHP2Shellとは何ですか

2026年10月21日に公表されたPHPの2件の深刻な脆弱性、CVE-2026-109618とCVE-2026-109619の呼び名です。JPCERT/CCは、PHPを使用する製品もこの脆弱性の影響を受ける可能性があるとしています。詳しくはPHP2Shellの解説をご覧ください。