Das NAS im Hauswirtschaftsraum ist für viele Smart-Home-Fans das stille Arbeitstier: Es speichert die Aufnahmen der Überwachungskameras, hostet ein Wiki und trägt manchmal noch einen WordPress-Blog obendrauf. Genau diese Webdienste rücken jetzt wegen Synology PHP2Shell in den Fokus, denn sie laufen alle auf PHP. Das Sicherheitsteam von Synology (PSIRT) hat alles durchleuchtet und zieht eine klare Linie: Erst wenn auf Deinem NAS ein Paket mit PHP-Abhängigkeit läuft, bist Du betroffen.
Die Lösung ist ein Update im Paket-Zentrum. Bis Du es installierst, steht eine laufende WordPress- oder phpMyAdmin-Installation da wie eine Haustür auf Kipp.
Liegt Dein Kamerasystem auf demselben NAS, soll eine Patch-Runde Deine Aufnahmen nicht ausbremsen. PoE-Geräte mit eigenem Rekorder, etwa die Reolink P334 und der Rest des Reolink-Sortiments, filmen einfach weiter, während Dein NAS kurz neu startet.
Warum Synology PHP2Shell so schwer wiegt
PHP ist der Türsteher einer Webanwendung: Jede Anfrage von außen kommt zuerst an ihm vorbei. Bei PHP2Shell stolpert dieser Türsteher auf zwei Arten. Geht ihm mitten in einer Anfrage der Arbeitsspeicher aus, lässt er halb ausgefüllte Daten liegen und räumt sie später auf, als wären sie vollständig (CVE-2026-109618). Oder er merkt sich nach einer Anfrage noch einen Verweis auf Speicher, der längst freigegeben ist, und die nächste Anfrage greift darauf zurück (CVE-2026-109619).
In beiden Fällen kann ein Angreifer Code auf dem Server ausführen, ohne sich einzuloggen. Die PHP-Entwickler bewerten die Fehler mit 9,2 von 10. Sicherheitsfirmen haben erste Angriffsversuche außerdem schon einige Tage vor der offiziellen Bekanntgabe am 21. Oktober beobachtet. Ein theoretisches Problem ist das also nicht.
Betroffen von Synology PHP2Shell? Diese zehn Pakete solltest Du prüfen
Synology nennt diese Pakete mit PHP-Abhängigkeit:
- Calendar
- IDrive (Paket eines Drittanbieters, Synology Drive selbst ist nicht betroffen)
- Joomla
- KodExplorer
- MailStation (dieses Paket aktualisierst Du manuell über das Paket-Zentrum)
- MediaWiki
- phpMyAdmin
- vtigerCRM
- Web Station
- WordPress
DSM selbst ist sicher
Das Betriebssystem bringt eine eigene PHP-Komponente mit, laut Synology aber ohne Module, die von außen erreichbar sind. Es gibt also nichts, was sich angreifen ließe, und Synology stuft das Risiko als minimal ein. Ein Patch für eine künftige DSM-Version ist trotzdem geplant, behalte Deine DSM-Updates daher im Blick.
Synology PHP2Shell patchen im Paket-Zentrum
Synology hat PHP-Updates für DSM 7.4 und DSM 7.3 bereitgestellt, außerdem für das bereits aus dem Support gelaufene DSM 7.2. Der Ablauf ist bei allen dreien gleich:
- Öffne das Paket-Zentrum und suche das Update für das PHP-Paket.
- Installiere es. Die Pakete, die auf PHP aufbauen, starten danach von selbst neu. WordPress, Dein Wiki und Web Station nutzen die neue Version also ohne zusätzlichen Klickaufwand.
- MailStation ist die Ausnahme und braucht ein manuelles Update, ebenfalls über das Paket-Zentrum.
- Rufe danach Deine Webdienste kurz auf und prüfe, ob alles normal lädt.
Noch auf einer DSM-Version vor 7.2?
Dann gibt es kein PHP-Update für Dich. Schalte die betroffenen Pakete ab, bis Du auf eine gepatchte DSM-Version gewechselt hast. Ein Wiki, das eine Woche offline ist, kostet weniger als ein NAS, in dem ein Fremder mitliest.
Synology PHP2Shell ist noch nicht abgehakt
Synology setzt selbst eine Randnotiz: Es gibt schon wieder Berichte, dass es nicht bei diesen beiden Lücken bleibt. Die Details stehen im Sicherheitshinweis Synology-SA-26:14. Schon im Oktober hat Synology Sicherheitslücken mit DSM 7.4.1 Update 1 geschlossen, eine Update-Meldung in Deinem DSM ist also kein Rauschen.
Setze Dein NAS nicht dem ganzen Internet aus
Ist Dein Blog oder Wiki per Portweiterleitung für alle offen? Dann ist ein VPN der klügere Weg: Du kommst von unterwegs ans NAS, als säßest Du zu Hause, ohne dass der Webdienst im offenen Internet hängt. Wie bei einem smarten Türschloss soll nur aufgehen, wer dazugehört.
Lass das Paket-Zentrum die Arbeit erledigen
Aktiviere die automatische Aktualisierung für die Pakete, die Du nutzt, und plane einen festen Termin, um nachzusehen, was passiert ist, zum Beispiel mit einer wiederkehrenden Erinnerung am ersten Sonntag im Monat. So automatisierst Du auch das Dran-Denken.
Ein eigener Rekorder neben Deinem NAS
Ein separater Rekorder speichert Deine Aufnahmen auf einer eigenen Festplatte. Dein NAS darf dann während einer Patch-Runde in Ruhe neu starten, die Kameras nehmen weiter auf. Das Reolink NVS8-Set bringt einen 8-Kanal-PoE-Rekorder samt vier 4K-Kameras mit.
Möchtest Du Deine Kameraaufnahmen auf einem eigenen Rekorder unterbringen, getrennt von der Pflege Deines NAS? Dann wirf einen Blick auf unsere Überwachungskameras und die PoE-Kameras von Reolink bei tink und baue ein System auf, das einfach weiterläuft, während sich Dein NAS aktualisiert.
![Jetzt bei den tink Energiespartagen bis zu 50% sparen - zum tink Shop](https://www.tink.at/blog/wp-content/uploads/sites/6/2026/10/300x250_DAT_wm-deals_Announcement.jpg")