Bonjour,

Des vulnérabilités critiques de PHP ont été découvertes et révélées hier, affectant peut-être 70% du Web mondial. Pas mal de sites gouvernementaux ont été mis à l'arrêt dans l'attente de correctifs.

Je n'ai pas vu de correctif de sécurité pour les paquets PHP de Synology dans DSM. Doit-on aussi mettre ses sites web en pause?

Merci pour vos avis et informations.

Bonjour,

Synology a déjà sorti des mises à jour, ça se discute dans le sujet "IMPORTANT : Faille PHP2SHELL" de la section Avis de sécurité : PHP 8.2 passe en 8.2.35-0171, et d'après plusieurs membres il y a aussi des versions corrigées pour 8.3 et 8.4. Si elles n'apparaissent pas encore dans le Centre de paquets, les .spk s'installent à la main depuis le centre de téléchargement Synology.

Avant de mettre à jour, je regarderais dans Web Station quel paquet PHP chaque profil utilise vraiment, parce qu'il suffit d'en oublier un.

Pour la pause, tout dépend de l'exposition. Des sites accessibles seulement en local ou par VPN, je les laisserais tourner. Pour ceux ouverts sur internet, oui, je couperais le portail web ou la redirection de port le temps d'installer le correctif, c'est l'affaire de quelques minutes.

J'ai eu un patch mon 218+ en DSM 7.2, version 7.4.33-0131 de php.

Helas pas de patch pour mes vieux syno en DSM 6.2.... (y compris une VM). Ca m'embête pour ma VM en 6.2 car elle host mon photo station (tjs pas trouvé mieux), pour mon autre Syno en 6.2, il n'est pas exposé.