为修复PHP近期披露的两项高危漏洞，并同步Node.js最新安全更新，1Panel开源面板已经完成相关运行环境版本升级。使用受影响版本的用户请及时更新，并且根据业务情况完成版本切换。
一、PHP运行环境升级
2026年10月21日，PHP官方发布紧急安全更新，修复了两个可被未授权利用的远程代码执行漏洞：CVE-2026-109618与CVE-2026-109619。两项漏洞的CVSS v4.0评分均为9.2（严重），攻击者可未经身份验证实现远程代码执行（RCE）。
1. 漏洞说明
■ CVE-2026-109618（内存耗尽处理异常导致远程代码执行）：处理内存耗尽（OOM）异常时，PHP可能在内部请求数据仅部分初始化时被中断，后续清理过程会把无效数据当作有效数据使用，可能导致远程代码执行；
■ CVE-2026-109619（全局状态残留导致远程代码执行）：请求所属的内部状态在关联内存释放后仍然保留，同一工作进程处理后续请求时，可能在正常初始化重置前使用这些失效状态，可能导致远程代码执行。
影响范围：所有处理Web请求的PHP安装，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed等。官方认为mod_php风险最高，已有验证案例表明未认证请求可在应用代码运行前触发漏洞。
2. 官方修复版本
PHP官方修复版本如下：
以上版本已包含上述两个漏洞的修复。1Panel已经基于PHP官方版本完成运行环境镜像封装（1panel/php:<版本>，如1panel/php:8.2.35），建议相关用户尽快升级。
3. PHP 7.4/8.0/8.1安全补丁版本
PHP官方已不再为7.4、8.0、8.1分支发布新版本。1Panel为仍在使用这些版本的用户提供已回补本次漏洞的安全补丁镜像：
说明：1Panel的运行环境镜像均由1Panel统一封装（1panel/php:<版本>）。其中8.2–8.5版本基于PHP官方安全版本；7.4.34、8.0.31、8.1.35版本则是PHP官方停止该分支发布新版本后，1Panel基于官方提供的最小化源码回补封装的维护版本标签，并非PHP官方发布版本。建议仍在使用7.4/8.0/8.1版本的业务先升级至对应补丁版本，并且尽快规划迁移至PHP官方仍在维护的版本。
二、Node.js运行环境升级
2026年10月21日，Node.js官方同步发布安全更新，22.x、24.x、26.x分支共修复10项漏洞（4项高危、3项中危、3项低危），涉及TLS证书主机名校验绕过、DNS解析异常、Brotli解码器越界写入（CVE-2026-111497，可导致远程代码执行）等风险，并且包含c-ares、OpenSSL、Undici等依赖更新。1Panel同步更新情况如下：
其中22.23.4、24.22.1版本为官方安全更新版本，26.12.1版本为26.x当前版本。生产环境建议优先选择仍处于官方长期维护周期内的LTS版本，并且结合项目实际情况验证后升级。
三、运行环境升级步骤
运行环境升级步骤如下：
1. 进入1Panel应用商店；
2. 点击“更新远程应用”按钮获取最新应用；
3. 在运行环境配置中，将版本切换至新版本（如果编辑的时候获取不到新版本，可以切换一下大版本）；
4. 重启相关项目或服务，确认业务运行正常。
四、安全建议
本次PHP两项漏洞风险较高，尤其是面向公网提供Web服务的PHP环境，建议尽快完成安全更新：
■ PHP 8.2版本及以上：升级至对应版本的1Panel运行环境镜像（基于PHP官方安全版本封装）；
■ PHP 7.4/8.0/8.1版本：先升级至1Panel的安全补丁镜像，并且尽快规划迁移至PHP官方仍支持的版本；
■ 使用Node.js的用户：同步检查当前运行版本，及时升级至最新安全版本。
1Panel开源项目组将持续关注PHP、Node.js等运行环境的安全更新进展，并且及时同步相关版本，为用户提供更加安全、稳定的运行环境。