aaPanel PHP 安全升级指导手册【邮件 eml 转 md】

上午几乎同时收到 aaPanel 和 netcup 的通知 -- 完成了修复。
觉得 aapanel 这个写的不错，转成 md，也许有用。

aaPanel PHP 安全升级指导手册

来源：aaPanel 官方安全通知邮件（[email protected]，2026-10-22，主题 Critical PHP security update for aaPanel users）
适用对象：aaPanel 服务器管理员
风险等级：🔴 严重 —— CVSS v4.0 9.2，可未认证远程代码执行（RCE）

1. 漏洞概述

2026-10-21，PHP 官方修复了 CVE-2026-109618 与 CVE-2026-109619 两个漏洞：

受影响的运行环境：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。
其中风险最高的是 mod_php。

2. 已修复的 PHP 版本（升级目标）

补丁仅覆盖 PHP 7.4 – 8.5，请将各分支升级到对应的修复版本：

⚠️ PHP 版本低于 7.4 的用户应迁移到受支持的版本，或向服务商确认补丁方案。

3. aaPanel 内升级步骤

1. 备份 —— 备份网站、数据库与配置。
2. 升级 —— 打开 应用商店（App Store）→ 已安装（Installed）；如需要先点击 更新应用列表（Update App List） 刷新。将每个正在使用的 PHP 版本升级到可用的修复版本。
3. 重启并验证 —— 重启 PHP 服务，确认网站运行正常。

修复版本是否在商店可见取决于你的应用商店。

4. OpenLiteSpeed LSPHP 升级（改用 apt/yum）

由于与 OpenLiteSpeed 的脚本兼容性问题，当前脚本只支持 LSPHP 安装、不支持升级，请暂时使用 apt/yum 升级 LSPHP：

CentOS / AlmaLinux / Rocky

yum update 'lsphp*' -y

Debian / Ubuntu

apt-get update
apt-get install --only-upgrade 'lsphp*' -y

5. 临时缓解措施（仅针对 CVE-2026-109619 的部分攻击路径）

⚠️ 以下措施不能修复两个漏洞，也不能替代安全更新。 它们仅针对 CVE-2026-109619 的已确认会话攻击路径；在 PHP 8.5 上还针对致命错误回溯（fatal error backtrace）路径。

打开受影响 PHP 版本的 设置（Settings）→ 配置文件（php.ini），设置：

session.upload_progress.enabled = 0

PHP 8.5 还需额外设置：

fatal_error_backtraces = 0

然后重启所有受影响的 PHP worker。 这些设置必须在请求解析之前生效，不能依赖 ini_set() 或 PHP-FPM 的 .user.ini。

6. Node.js 安全更新（附）

Node.js 同时修复了 10 个漏洞（含 4 个高危）。请升级到 22.23.4、24.22.1 或 26.12.1。

操作路径：网站（Website）→ Node.js 项目（Node.js Project）→ Node 版本管理器（Node version manager）。刷新列表后安装修复版本，再为每个项目切换到新版本并重启。

⚠️ 仅安装新版本不会自动更新已有项目，必须逐个切换。

7. 官方公告

• PHP 安全公告：https://www.php.net/（php.net）
• Node.js 安全发布：https://nodejs.org/en/blog/vulnerability/（nodejs.org）

8. 操作速查（Checklist）

• 确认服务器上实际运行的 PHP 版本（php -v、各站点使用的 SAPI 类型）
• 备份网站 / 数据库 / 配置
• aaPanel：应用商店 → 已安装 → 更新应用列表 → 升级每个 PHP 版本
• OpenLiteSpeed 环境：用 yum update 'lsphp*' -y 或 apt-get install --only-upgrade 'lsphp*' -y
• 重启所有 PHP 服务 / PHP-FPM worker
• 验证网站功能正常
• （临时缓解）php.ini 设置 session.upload_progress.enabled = 0，PHP 8.5 另加 fatal_error_backtraces = 0，重启 worker
• Node.js 项目逐个切换到修复版本（22.23.4 / 24.22.1 / 26.12.1）并重启