安全公告：PHP 核心高危漏洞（PHP2Shell）影响禅道运行环境，请尽快升级补丁！

一、收费版用户：请联系我们的同事

如果您使用的是禅道收费版本（企业版、旗舰版、IPD 版等），请直接联系对接的销售或技术支持人员，我们将协助您完成升级。

二、云服务用户：已更新完毕，无需任何操作

使用禅道云服务的用户无需进行操作，云服务环境当前已运行修复后的版本，可以放心继续使用。

三、使用Windows一键安装包的用户如何处理

在禅道服务器上找到禅道安装目录，右键查看 ZenTao\bin\php\php.exe 属性中的详细信息，获取 PHP 版本号。

如果 PHP 版本是 7.2、7.4 或 8.1，请按照以下步骤安装安全补丁。

1. 下载已经修复的 PHP 程序压缩包：
   • PHP 7.2 / 7.4：https://dl.zentao.net/patches/php.zip
   • PHP 8.1：https://dl.zentao.net/patches/php8.1.zip
2. 找到本地禅道集成运行环境的目录，例如 D:\ZenTao。
3. 进入 ZenTao 目录下的 bin 子目录。备份其中的 php 目录，例如改名为 php_bak；将 php.zip 或 php8.1.zip 放到 bin 目录下解压，得到新的 PHP 程序目录。
4. 在一键安装包面板停止禅道服务，然后退出面板（右键右下角禅道图标并退出程序），再重新启动服务。
5. 访问禅道页面，检查是否报错。

四、使用Linux一键安装包的用户如何处理

请先在服务器上执行 /opt/zbox/bin/php -v 查看 PHP 版本，再选择与 PHP 系列和服务器架构匹配的补丁包。

PHP 7.4 版

amd64 架构

cd /tmp
wget https://dl.zentao.net/patches/zbox-php74-php2shell-patch-20261022-linux-amd64.tar.gz
tar -xzf zbox-php74-php2shell-patch-20261022-linux-amd64.tar.gz
cd zbox-php74-php2shell-patch-20261022-linux-amd64
sudo ./install.sh

arm64 架构

cd /tmp
wget https://dl.zentao.net/patches/zbox-php74-php2shell-patch-20261022-linux-arm64.tar.gz
tar -xzf zbox-php74-php2shell-patch-20261022-linux-arm64.tar.gz
cd zbox-php74-php2shell-patch-20261022-linux-arm64
sudo ./install.sh

PHP 8.1 版

amd64 架构

cd /tmp
wget https://dl.zentao.net/patches/zbox-php81-php2shell-patch-20261023-linux-amd64.tar.gz
tar -xzf zbox-php81-php2shell-patch-20261023-linux-amd64.tar.gz
cd zbox-php81-php2shell-patch-20261023-linux-amd64
sudo ./install.sh

arm64 架构

cd /tmp
wget https://dl.zentao.net/patches/zbox-php81-php2shell-patch-20261023-linux-arm64.tar.gz
tar -xzf zbox-php81-php2shell-patch-20261023-linux-arm64.tar.gz
cd zbox-php81-php2shell-patch-20261023-linux-arm64
sudo ./install.sh

• 补丁适用于 PHP 7.4.0 ~ 7.4.33 或 PHP 8.1.0 ~ 8.1.31 的 Linux amd64 / arm64 一键安装包。
• 安装期间 ZBox 会短暂停止，请安排维护窗口并提前通知用户。
• 如果安装前 ZBox 正在运行，脚本会先停止服务；更新完成后会自动启动并检查 Apache 是否加载新的 PHP 模块。
• 如果安装前 ZBox 没有运行，脚本只更新文件，不会主动启动服务。
• 安装器会备份原文件并生成回滚脚本，路径为 /opt/zbox/backup/php2shell-<时间>/rollback.sh。安装或启动失败时会自动恢复；如问题持续，可使用生成的脚本回滚并联系技术支持。

五、使用禅道官方Docker镜像的用户如何处理

1. Docker 单容器运行环境

# 1.本地镜像备份
docker tag <原镜像:tag> <原镜像:tag>-bak

# 2.拉取新版镜像
docker pull <原镜像:tag>

# 3.停删旧容器（卷数据保留）
docker stop <容器名>
docker rm <容器名>

# 4.启动
docker run 【原有启动参数】 <原镜像:tag>

2. Docker  Compose 运行环境

# 1.本地镜像备份
docker tag <原镜像:tag> <原镜像:tag>-bak

# 2.拉取修复后新版镜像
docker pull <原镜像:tag>

# 3.优雅停止服务
docker-compose down

# 4.重新启动服务（自动加载新镜像，保留全部原有配置、数据）
docker-compose up -d

3. K8S/K3S 运行环境

# 1.先查询，确认禅道deployment名称
kubectl get deploy -n <namespace>

# 2.登录集群节点，备份本地缓存的旧镜像
docker tag <原镜像:tag> <原镜像:tag>-bak

# 3.设置 imagePullPolicy: Always，新建Pod强制拉取仓库最新镜像
kubectl patch deployment <zentao-deploy> -n <namespace> \
-p '{"spec":{"template":{"spec":{"containers":[{"name":"zentao","imagePullPolicy":"Always"}]}}}}'

# 4.触发滚动更新
kubectl rollout restart deployment <zentao-deploy> -n <namespace>

# 5.观察Pod就绪状态
kubectl get pods -n <namespace>

# 6. 更新稳定后，恢复默认拉取策略 IfNotPresent（可选）
kubectl patch deployment <zentao-deploy> -n <namespace> \
-p '{"spec":{"template":{"spec":{"containers":[{"name":"zentao","imagePullPolicy":"IfNotPresent"}]}}}}'

六、使用操作系统自带包管理器安装的用户如何处理

对于直接使用操作系统包管理器搭建的 PHP 环境，很多操作系统的软件包已经更新了修复漏洞后的 PHP 版本，可以尝试更新 PHP 版本完成修复。

七、使用第三方集成环境的用户如何处理

对于使用第三方集成环境（例如宝塔面板）搭建的 PHP 环境，可以联系对应集成环境的客服，获取修复漏洞后的 PHP 版本。

八、自己编译环境的用户如何处理

对于自行编译的 PHP 环境，需要下载修复漏洞后的 PHP 代码并重新编译。

如果无法自行修复，建议安装禅道的一键安装包。禅道 18.13、21.7.9、22.6 及对应收费版本的一键安装包都已经修复该 PHP 漏洞。

九、不能升级 PHP 版本或者不能打安全补丁的用户如何处理

可以通过以下配置降低风险：

1. 将 PHP 内存限制设置为无限制。 建议通过应用程序无法覆盖的方式设置，例如 FPM 池或 Apache 配置中的 php_admin_value。

   PHP-FPM 配置方法

   • 找到 Pool 配置文件，通常位于 /etc/php-fpm.d/www.conf（CentOS / RHEL）或 /etc/php/8.x/fpm/pool.d/www.conf（Ubuntu / Debian）。
   • 添加或修改配置行：

     php_admin_value[memory_limit] = -1

   • 重启 PHP-FPM 服务：

     # CentOS / RHEL
     systemctl restart php-fpm
     
     # Ubuntu / Debian（版本号可能不同）
     systemctl restart php8.1-fpm

   Apache 配置方法

   • 修改 Apache 虚拟主机配置：

     <VirtualHost *:80>
         ServerName example.com
         DocumentRoot /var/www/html
     
         # 设置该站点的 PHP 内存无限制
         php_admin_value memory_limit -1
     </VirtualHost>

   • 重启 Apache 服务：

     # CentOS / RHEL
     systemctl restart httpd
     
     # Ubuntu / Debian
     systemctl restart apache2

2. 设置较小的 post_max_size。 不需要上传文件的应用可以设置为 post_max_size = 8M；需要上传文件时建议设置为 post_max_size = 32M。确保 upload_max_filesize 始终低于 post_max_size。

   建议同步检查 php.ini、zentaopms/www/.htaccess 和 zentaopms/www/.ztaccess。

3. 修改 php.ini，在文件末尾添加：

   session.upload_progress.enabled = Off
   session.upload_progress.cleanup = On
   session.use_strict_mode = 1
   session.use_only_cookies = 1
   session.cookie_httponly = 1

重启 Web 服务器后，创建内容为 <?php phpinfo(); ?> 的 phpinfo 文件，通过浏览器查看并确认上述配置是否生效。

十、写在最后：安全问题，请大家务必重视

此次PHP2Shell漏洞并非孤立事件，近期安全领域还披露了多起重大风险：

• Oracle Java SE 紧急漏洞：10月21日紧急发布，CVSS 9.1。攻击者无需身份验证即可破坏TLS连接机密性与完整性；根源是eMudhra CA私钥强度不足，可伪造合法HTTPS证书实施中间人攻击，需单独升级JDK修复。
  
• GitLab 未授权远程代码执行漏洞：CVSS 评分满分 10，影响 2012 年以来的全部自管版本。
• Node.js 十月安全更新：一次性修复 10 个安全缺陷，其中解压缩组件的缺陷可导致远程代码执行，影响大量网站后台。
• LiteLLM 供应链投毒：PyPI官方源出现带后门与凭据窃取器的恶意版本，绕过多重安全防护后才被发现。
• Railway 云平台安全事件：攻击者可能读取客户环境变量与密钥，官方要求所有用户立即轮换全部凭据。
• 日本 VPS 服务商 Onamae Desktop Cloud 被入侵：最多约 2.6 万台客户服务器被植入恶意软件。

从编程语言运行时、开发框架、开源供应链到云平台，整条软件链条上的任何一环都可能出问题，而最终都会落到每一个具体部署的系统上。因此，我们再次提醒大家：

• 及时更新运行时环境与依赖组件，避免使用已停止维护的版本。
• 养成定期备份习惯，升级前务必备份，确保可快速回滚。
• 密切关注安全公告，高危漏洞披露后尽快完成环境核查与修复。
• 强化服务器访问控制与日志监控，提升异常行为发现能力。

我们会持续跟进各部署方式的修复进展，请大家关注禅道官方渠道。如有任何问题，欢迎随时联系我们的技术支持团队。希望每一位用户都能引起重视，共同守住安全的底线。