1Panel 2026年10月安全更新：涉及 PHP、Node.js、Go 与 Linux ！ - 凌霞软件

🎉 即日起至11月18日 1Panel 专业版 & Halo 付费版 6 折特惠！
‼️ 2026年10月 1Panel 安全漏洞修复查询：PHP、Node.js 与 Go 更新！
近期 PHP、Node.js、Go 及 Linux 内核相关安全问题陆续披露。本文汇总 1Panel 运行环境可用版本，以及 1Panel v2.4.1、v2.4.2 的安全更新与缓解措施，供用户核对处理。
Linux 内核 IPv4 TCP 路径披露释放后使用（UAF）漏洞 CVE-2026-98432，Ubuntu 公告列出的 CVSS 3.0 评分为 9.8。1Panel v2.4.2 默认禁用 MPTCP，以降低 1Panel 内置服务受该漏洞影响的风险。详情见 1Panel v2.4.2 发布说明、Ubuntu 安全公告及 Go multipathtcp 配置说明。
禁用 MPTCP 属于服务侧缓解措施，并未修复宿主机内核漏洞。建议升级 1Panel 至 v2.4.2，并根据所用 Linux 发行版的安全公告更新内核、按要求重启；宿主机上其他服务是否启用 MPTCP 也需单独评估。
1Panel v2.4.1 将 Go 升级至 1.27.3，修复 crypto/x509 安全漏洞 CVE-2026-111943。
2026 年 10 月 21 日，PHP 官方发布安全更新，修复 CVE-2026-109618 和 CVE-2026-109619。官方说明，风险涉及处理 Web 请求的 PHP 安装，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等；mod_php 风险较高，建议尽快更新。
PHP 5.6、7.0–7.4、8.0 和 8.1 已不在 PHP 官方常规维护范围内。仍使用这些分支的用户可参考表中的 1Panel patched 版本，并规划迁移到 PHP 官方仍维护的版本。PHP 官方安全版本公告：8.2.35、8.3.36、8.4.27、版本下载页。
Node.js 项目于 2026 年 10 月 21 日发布 22.x、24.x、26.x 安全更新，涉及 DNS 解析、TLS 证书校验和 Brotli 解码器等问题。CVE-2026-111497 是可能导致远程代码执行的 Brotli 解码器越界写入漏洞。此次更新版本如下。