PHP（5.4-8.2）漏洞公告：存在严重远程代码执行漏洞，请立即更新或者修复   PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个可能导致未经身份验证的远程代码执行的严重漏洞。强烈建议所有 PHP 用户立即更新。   哪些人面临风险：所有提供 Web 服务请求的 PHP 安装，包括 PHP-FPM、带有 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。我们认为 mod_php 的风险最高，因为已有演示表明，未经身份验证的请求可以在任何应用程序代码运行之前触发攻击。   漏洞：   通过内存溢出漏洞实现远程代码执行 (CVE-2026-109618)：   设置memory_limit=-1内存限制，最好采用应用程序无法覆盖的方式，例如php_admin_value在 FPM 池或 Apache 配置中设置，并检查是否有任何池、目录或应用程序设置重新设置了内存限制。这可以消除可控的 PHP 内存限制故障，但底层分配故障仍然可能触发漏洞。 设置一个较低的值post_max_size。对于不需要文件上传的应用，设置一个较低的值post_max_size = 8M。如果需要文件上传，则设置一个较高的值post_max_size = 32M。保持upload_max_filesize低于某个post_max_size阈值。考虑在 Web 服务器或代理级别强制限制解码后的请求大小、输入字段数量、多部分请求体数量、请求头数量和嵌套深度。这些限制还必须涵盖没有可用参数的请求Content-Length。 使用容器或 cgroup 限制作为可用性边界，最好采用仅终止受影响工作进程的策略。不要使用其他方法RLIMIT_AS， RLIMIT_DATA因为这可能会导致易受攻击的分配失败。   利用过时的全局状态进行远程代码执行 (CVE-2026-109619)： 设置session.upload_progress.enabled=0并重启每个工作进程。使用php.ini在请求解析之前应用的 FPM 池或服务器配置。不要依赖ini_set()FPM .user.ini。这会阻塞已确认的会话路径，但不会阻塞其他变体。 在 PHP 8.5 中，设置fatal_error_backtraces=0并重启每个 worker。这只会阻塞已确认的致命回溯路径。 移除初始化前每个请求中应用的无效或已弃用的诊断设置。 如使用宝塔集成模块的，等宝塔修复后，卸载PHP模块，重启服务器后重新安装宝塔PHP的组件即可。

2026年5月13日，安全研究团队depthfirst披露NGINX存在一组高危漏洞，其中最严重CVE-2026-42945可追溯至2008年。 攻击者无需认证，仅需发送特制HTTP请求即可触发工作进程崩溃，甚至实现远程代码执行。 漏洞源于ngx_http_rewrite_module的缓冲区溢出缺陷，影响所有标准NGINX构建版本。 全球约三分之一网站使用NGINX，风险广泛。 相关研究人员称，攻击者无需登录认证，只需发送一条特制HTTP请求，就能让NGINX工作进程崩溃；在合适条件下，还可能拿到服务器远程代码执行权限 官方已发布修复方案：NGINX开源版需升级至1.31.0或1.30.1，Plus版需升级至R36 P4或R32 P6，并重启服务。 暂无法升级者可改用命名正则捕获作为临时缓解措施。 如果是安装宝塔的服务器，只需要登录宝塔，在软件商店找到 Nginx  点击，打开后切换版本， 切换成 1.30 ，确认切换后等待完成，完成后 即可成最新的修复版 Nginx 1.30.1！最后重启服务器完成。

cenots 为例： 先删除原来的libzip yum remove libzip -y 下载后需要编译安装 wget https://nih.at/libzip/libzip-1.2.0.tar.gz tar -zxvf libzip-1.2.0.tar.gz cd libzip-1.2.0 ./configure make && make install 设置PKG_CONFIG_PATH： export PKG_CONFIG_PATH="/usr/local/lib/pkgconfig/" 安装ZIP扩展： cd /www/server/php/74/src/ext/zip /www/server/php/74/bin/phpize ./configure --with-php-config=/www/server/php/74/bin/php-config make && make install echo "extension = zip.so" >> /www/server/php/74/etc/php.ini   完成后按 php -v 执行看看   源码运行测试 <?php $zip = new ZipArchive; if ($zip->open('example.zip') === TRUE) { echo "打开成功！"; $zip->close(); } else { echo "打开失败"; } ?>  

【DDoS 攻击与清洗通告】   最近，香港机房网络监测到针对部分基础网络设施的大规模 DDoS 攻击（UDP Flood）攻击。 攻击高峰期恶意流量最高约 7.4 Tbps攻击，已被防护系统全部拦截并丢弃数据包，仅少量正常业务TCP流量通过。   ? 本次攻击在自动清洗策略下已被成功缓解， ? 攻击对我我们整体网络及客户业务未造成任何严重影响。（可能对少部分地区存在网络性能影响，仅可能性）   本通告仅作为安全事件的透明披露，提醒各位客户知悉。我们和机房将继续保持 7×24 小时监控和防护确保用户业务正常

通知，因宝塔的CDN可能出现问题，导致宝塔无法在我们的香港节点执行命令！因此无法连接宝塔服务器下载安装。 解决办法：我们将宝塔的安装脚本放在香港节点线路来执行宝塔官方版本的在线安装，脚本是通用安装脚本，一键执行安装，属官方发行最新正式版 支持所有linux系统（支持Centos、Ubuntu、Debian、Fedora、麒麟、统信UOS） 安装命令： if [ -f /usr/bin/curl ];then curl -sSO http://156.234.66.3/install/install_panel.sh;else wget -O install_panel.sh http://156.234.66.3/install/install_panel.sh;fi;bash install_panel.sh ed8484bec 执行后，按"y" 即可 最新版宝塔安装稍微慢，等待完成即可 2025年10月31日，我们已经改进了系统的解析线路，此日期后购买和重装的用户均无需处理直接可用官方安装脚本命令。 如在此日期前的用户开通的老用户，如果需要对系统安装使用宝塔，无重装的用户可在SSH执行命令  echo "45.76.53.20 download.bt.cn" >> /etc/hosts  即可使用官方的宝塔命令安装，或者直接使用我们做好的宝塔命令安装均可

2025年6月4-5日（均在凌晨5点操作），全节点升级完毕，提升服务器运行性能和长期的数据安全，运行稳定性。节点升级期间，对服务器临时重启等短暂不能使用等带来的影响请多谅解！到目前为止。全节点完毕升级！请放心使用

Distributed Transaction Coordinator (DTC) 启动失败”的问题，可以按照以下步骤进行排查和修复 可以尝试使用msdtc -resetlog命令来重置DTC日志文件即可解决启动失败的问题！ MS DTC 组件遇到一个内部错误。进程正被终止 这种问题也是这种情况导致

Distributed Transaction Coordinator (DTC) 启动失败”的问题，可以按照以下步骤进行排查和修复 可以尝试使用msdtc -resetlog命令来重置DTC日志文件即可解决启动失败的问题！ MS DTC 组件遇到一个内部错误。进程正被终止 这种问题也是这种情况导致

改下代码就解决 打开/www/server/panel/plugin/psync_api/psync_api_main.py大概是第77行，新版本80行，有个函数     #获取目标服务器和环境配置     def get_dst_config(self,args):         ret = self._API.send_panel('/system?action=GetConcifInfo',{})         disk = self._API.send_panel('/system?action=GetDiskInfo',{})         if ret['status']: 复制代码 这里面的 ret['status'] 返回0就会提示那个错误，有的时候达到要求了，也是返回0，把 if ret['status']:   改成 if ret['webserver']:  然后保存，即可

紧急通知 2024年 7月 16号 前购买和重装windows 操作系统的服务器，存在系统驱动错误问题，影响的操作系统版本（全部节点的windows 2008 2012  2016 2019以及windows2022） 此问题可导致服务器运行性能下降和网络存在一定卡顿问题，我们已经于 2024年 7月16号 凌晨 3时全部完成windows操作系统的修复，如使用遇到问题和不良因素，请及时重装以便给你带来更好的使用体验和稳定性！   补充：关于 centos 操作系统官方2024年6月30号 停止使用后影响源的问题，已经于 2024年 7月1号，我们已经全部修复完成，如在 6月30号前购买和重装centos后。在后期遇到问题的，请重装或联系我们解决即可