花蓮縣政府教育處處務公告

網路、資安公告 【攻擊預警】網路儲存設備NAS (QNAP、Synology)兩大品牌高風險資訊安全漏洞，請各學校有使用NAS加強防範並提供學校緊急應變處理建議方式 !

一、依據 Synology 原廠公告指出， NAS 部分套件存在 PHP2Shell 安全漏洞（ CVE-2026-109618 、 CVE-2026-109619 ），這兩個漏洞的 CVSS 3.1 漏洞評分高達 9.8 分（滿分 10 分），屬於極度危險的「遠端執行程式碼」（ RCE ）漏洞。攻擊者無需任何帳號密碼，即可透過受影響的 PHP 程序在 NAS 系統內執行任意惡意指令。

二、據 Synology 官方安全團隊 (PSIRT) 發布安全公告 (Synology-SA-26:14) 顯示，雖然 DSM 系統內建的 PHP 組件未有對外暴露，但只要 NAS 安裝並執行了依賴 PHP 運作的應用套件，便有機會直接落入攻擊射程範圍。

三、 10 大常用套件受波及 WordPress 與 phpMyAdmin 無一倖免
受此次漏洞波及的 Synology 套件多達 10 個，其中不乏極為常用的服務：

• 網站與數據庫工具： Web Station 、 WordPress 、 phpMyAdmin 、 Joomla 、 MediaWiki 、 KodExplorer
• 生產力與通訊套件： Synology Calendar 、 Mail Station 、 vtigerCRM
• 第三方套件： IDrive （註： Synology 官方 Drive 服務不受影響）
• 由於很多用家搭建 Web Station 或 WordPress 目的就是為了提供外網服務，導致大量 NAS 系統無意中將漏洞暴露於網際網路之上。

[建議措施:]

• 軟體攻擊 : 事先預防勝於事後應變，建議各單位除加強資料備份外，亦可建立離線備份。
• 權限控管 :

1. 請各校 NAS 管理者停用系統預設 admin 帳號
2. 全面強制重置相關系統管理員登入密碼 (請增加密碼長度超過 8 碼以及密碼獨特性)
3. 請各校 NAS 系統管理者帳號務必啟用雙重驗證 (2FA) 或 MFA 多因子身分認證機制登入管理系統

• 更新作業
• 請各校 NAS 管理人員儘速完成以上帳號檢查及系統更新，以降低資安風險，確保設備及資料安全
  1.  群暉原廠作業系統更新連結 : https://kb.synology.com/zh-tw/DSM/tutorial/How_can_I_update_to_the_latest_DSM_version_from_an_older_version   
  2.  群暉原廠更新新聞稿 : https://www.synology.com/zh-tw/company/news/article/php2shell
•  NAS 系統內相關套件也要更新 : PHP 、 node.js