1Panel 已更新 PHP 与 Node.js 运行环境镜像，包含 PHP CVE-2026-109618、CVE-2026-109619 两项远程代码执行（RCE）漏洞修复，以及 Node.js 2026 年 10 月安全更新。请使用相关运行环境的用户核对当前版本，并按下文步骤更新、验证业务。
查看 1Panel 运行环境镜像的实时打包进度和执行记录，可访问 1Panel runtime GitHub Actions。
快速查看：需要升级到哪些版本？
表中 7.4、8.0、8.1 的版本号分为 1Panel 镜像标签与镜像内 PHP 实际版本。选用旧分支安全补丁镜像可以处理本次漏洞，但这些分支已不再由 PHP 官方常规维护；建议同时规划迁移到 PHP 官方仍维护的分支。
PHP：CVE-2026-109618 与 CVE-2026-109619
PHP 项目于 2026 年 10 月 21 日发布安全更新，修复两项严重漏洞。官方指出，受影响范围包括处理 Web 请求的 PHP 安装，例如 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed；官方认为 mod_php 风险最高，并建议受影响用户尽快升级。
CVE-2026-109618：内存耗尽（OOM）处理过程中的异常可能造成内部状态损坏，进而导致远程代码执行。
CVE-2026-109619：请求处理相关的内部状态未正确清理，后续请求可能使用失效状态，进而导致远程代码执行。
PHP 官方安全版本为 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 官方发布公告将此次更新列为安全更新，并建议对应分支用户升级。PHP 8.2.35 · PHP 8.3.36 · PHP 8.4.27 · PHP 下载与版本信息
1Panel 已将官方安全版本封装为运行环境镜像，镜像名称格式为 1panel/php:<版本>，例如 1panel/php:8.2.35。对于 PHP 官方已停止常规更新的 7.4、8.0、8.1 分支，1Panel 提供了包含本次漏洞修复的维护镜像：
以上旧分支镜像标签是 1Panel 的维护版本，不是 PHP 官方发布的对应版本。若业务仍依赖 PHP 7.4、8.0 或 8.1，请先更新到对应的 1Panel 安全补丁镜像，并尽快规划迁移到 PHP 官方仍维护的版本。
Node.js：2026 年 10 月安全更新
Node.js 项目于 2026 年 10 月 21 日为 22.x、24.x、26.x 发布安全版本。公告列出了 DNS 解析、TLS 证书主机名校验和 Brotli 解码器等问题；其中 CVE-2026-111497 是 Brotli 解码器越界写入漏洞，可能导致远程代码执行。此次更新还包括 c-ares、CA 证书、OpenSSL、SQLite 和 Undici 等依赖更新。
Node.js 22.23.4、24.22.1 和 26.12.1 对应官方本次发布的更新版本。生产环境请结合应用兼容性进行版本切换和回归验证；可优先评估仍处于官方支持周期内的 LTS 分支，并参考 Node.js 官方安全公告核对适用版本。
如何在 1Panel 更新运行环境
登录 1Panel，进入应用商店。
点击更新远程应用，同步最新运行环境版本。
打开对应的 PHP 或 Node.js 运行环境配置，在版本下拉列表中选择上方表格列出的目标版本。若列表中暂未显示目标版本，可先切换“应用”右侧的大版本选项，再重新打开版本列表选择目标版本。PHP 旧分支的安全补丁版本会标注为 1Panel patched，并显示镜像内 PHP 版本。
国际版说明：如果看不到新版本，可删除 /opt/1panel/resource/apps/remote/php 目录下的 8 目录，然后重试。
保存配置并重启相关项目或服务。
检查运行环境实际版本、应用日志和关键业务流程，确认服务正常后完成升级。
升级前建议备份相关应用与数据，并在业务低峰期操作。版本切换可能影响依赖旧版本行为的应用，请先在测试环境验证，或准备好回退方案。
安全建议
PHP 8.2 及以上：尽快切换到对应的 1Panel 安全更新镜像。
PHP 7.4、8.0、8.1：先使用 1Panel 对应的安全补丁镜像，再安排迁移到 PHP 官方仍维护的版本。
Node.js：核对当前分支并升级到对应安全版本，升级后验证应用依赖和业务功能。
公网 Web 服务：优先排查并更新直接处理外部请求的 PHP 运行环境；仅升级 1Panel 面板本身不等于已升级每个项目使用的运行环境。
1Panel 开源项目组将持续关注 PHP、Node.js 等运行环境的安全更新，并同步维护相关镜像。本文版本信息对应 2026 年 10 月 21 日发布的安全更新；后续版本请以 PHP 官方公告 和 Node.js 官方安全公告 为准。
