修補 PHP 重大遠端執行程式碼漏洞（php2shell）

PHP 官方於 2026 年 10 月 21 日發布緊急安全更新，修補兩個嚴重等級的漏洞（俗稱 php2shell）。在特定條件下，攻擊者不需登入即可在執行 PHP 的伺服器上執行程式碼，而且漏洞消息在正式公告前一天就已外流。UVS Manager 的網頁管理介面以 PHP 8.4（nginx＋PHP-FPM）提供服務，因此 4.19.8 將 PHP 升級至已修補的 8.4.27，這是本版最主要的目的。

本版修補的兩個 CVE

漏洞說明與 CVSS 分數取自 PHP 官方公告。UniVirStor 4.19.7 及之前的版本所使用的 PHP 都不含這次修補，建議所有客戶儘速升級。

4.19.8 的處理範圍

升級前的暫時防護

完成升級之前，建議只允許受信任的管理網段連到 UVS Manager 管理介面，例如以 UFW Manager 或既有的防火牆限制來源位址。這只能降低風險，不能取代升級。

作業系統與 Ceph 同步更新

本版趁這次緊急修補，對整體執行環境做一次完整更新，而不只是更新 PHP。

Ceph 升級至 19.2.7

Ceph 專案於 2026 年 10 月 12 日發布 Squid 19.2.7，這是 Squid 系列第七個維護版本，修正了 CephFS 用戶端當機與死結等問題，官方建議所有部署更新。UniVirStor 4.19.8 的新建叢集與升級後的叢集都使用此版本；離線環境也能直接使用升級套件內附的容器映像檔完成升級，不需對外連線。

作業系統與服務套件

作業系統核心、nginx、Samba、時間同步等系統套件，一併套用最新的安全性與維護更新。

升級時間更短

升級若包含新的作業系統核心，各節點需依序重開機。4.19.8 起，升級流程最後的重開機改用 kexec 暖開機：直接載入新核心，跳過 BIOS／UEFI 開機自我檢測與 RAID／HBA 卡初始化，縮短每台節點重開與 OSD 離線的時間。無法使用暖開機的平台會自動改回一般重開機，升級流程不受影響。

升級方式

升級由晨宇技術支援協助進行，逐台節點升級，該節點的服務會依序短暫重啟。建議安排在維護時段進行。

新功能：CephFS 快照與排程管理

CephFS 頁面新增 Snapshot & Schedule 分頁，原本需要以 Ceph 指令操作的快照管理，現在可以直接在 UVS Manager 介面完成。

手動快照

從目錄樹選擇目錄或 subvolume，即可建立、查看與刪除快照，並顯示每份快照的建立時間。

快照排程與保留規則

可為目錄建立定期快照排程（例如每小時、每日、每週、每月），並可編輯、刪除或暫停排程。搭配保留規則，系統會自動刪除超出範圍的舊快照，例如保留最近 24 個每小時快照與 7 個每日快照。

快照佔用的空間

CephFS 快照採用寫入時複製（copy-on-write），建立快照時不會複製一份完整資料。快照額外佔用的空間，來自建立快照後被修改或刪除、但仍需由快照保留的舊資料；實際的磁碟用量還要再乘上資料池的副本數或 EC 開銷。規劃保留規則時，請依資料的變動量預留容量。

NFS：每個 NFS cluster 各自設定匿名 UID／GID

過去 NFS 的匿名 UID／GID（Anonymous ID）是全域設定，所有 NFS cluster 共用同一組值。4.19.8 改為每個 NFS cluster 各自設定：建立 NFS cluster 時即可指定，之後也能在編輯 cluster 時查看與修改，畫面顯示的是 Ceph 實際生效的值。變更只套用到該 cluster，不影響其他 cluster。

這讓不同信任等級的用戶端可以分開管理，例如提供給內部工作站的 cluster 對應網域使用者，提供給外部或實驗主機的 cluster 則對應無權限的帳號。同時也修正了舊版中，對已設定過的 cluster 再次修改或清除匿名 ID 時，畫面顯示成功、實際設定卻沒有改變的問題。從舊版升級後，各 cluster 會沿用 Ceph 中實際生效的設定；請在各 cluster 的編輯畫面確認匿名 UID／GID 是否符合預期。

NFSv3 相關修正

多個 NFS cluster 同時啟用 NFSv3 時，各自使用獨立的設定，互不影響；對已啟用 NFSv3 的 NFS 服務增加主機時，也不會再讓 NFSv3 設定失效。

系統時間：支援多個 NTP 時間來源

過去 UVS Manager 只能設定一個 NTP 伺服器。4.19.8 可以設定多個外部 NTP 伺服器，並可選擇是否由 Ceph MON 節點提供叢集內部的時間同步，內部與外部來源可同時使用。配置多個獨立的時間來源，系統才能互相比對並排除異常的時鐘，這對 Ceph 這類依賴各節點時間一致的分散式系統特別重要。時區設定也改為可搜尋的選單。

監控、報表與通知

Dashboard 顯示 SMB 與 NFS 服務狀態

Dashboard 的 Storage Service Status 加入 SMB 與 NFS，可直接看到這兩項服務的數量與狀態。

記憶體使用率更準確

Dashboard 的記憶體使用率改以 Linux 核心回報的可用記憶體計算，不再把可隨時釋放的檔案快取算成已使用，避免長期顯示偏高而誤判記憶體不足。

報表的時間範圍與時區

Cluster Report 依叢集時區計算完整的日期範圍（起始日 00:00 到結束日 24:00），報表上清楚標示起訖時間與時區，手動產生的報表與排程郵件的日期也一致。排程報表的郵件另外附上 PDF 版報表，PDF 中欄位較多的表格也會完整顯示，不再被裁切。

支援不需驗證的 SMTP 郵件主機

通知設定的 SMTP 帳號與密碼改為選填，可以使用不需驗證的內部郵件轉送主機；收件者則改為至少需填一位。

問題修正

舊版 Linux 核心可直接掛載 CephFS

4.19.7 由介面建立的 CephX 使用者一律使用 aes256k 金鑰，Linux 7.0 以前的核心用戶端無法使用 HOW TO MOUNT 產生的指令掛載。4.19.8 的 HOW TO MOUNT 建立預設使用者時可選擇 AES-128 或 AES-256：AES-128 供 Linux 7.0 以前的核心掛載，AES-256 供支援新金鑰型別的用戶端使用，不需要再另外以指令建立相容的使用者。另外，CephX Auth 頁面建立、編輯或刪除使用者失敗時，會顯示 Ceph 回傳的錯誤，不再誤報成功。

SMB

SMB STATUS 頁面關閉 session 與開啟中的檔案現在會確實生效，也能關閉由其他節點持有的連線，操作失敗時會顯示錯誤。新增 SMB 共享時不再覆寫 subvolume group 根目錄的權限，新增與編輯共享的權限行為一致，編輯共享時也可選擇網域使用者與群組作為擁有者。設定 LVS VIP 後，SMB 叢集服務不再反覆重啟而中斷連線；刪除 LVS VIP 時，各節點也會自動清除該位址。

UFW Manager 防火牆

匯入規則時可接受來源或目的為網段（CIDR）的規則，UVS 自己匯出的檔案可以原樣匯回；匯入失敗時會顯示錯誤，不再誤報成功。另外修正了目的位址為網段的規則，在編輯與匯出時遺失網段、被放寬成任何位址的問題。

S3 物件儲存（RGW）

新增 zone placement 時，Bucket Index Pool 由「使用既有 pool」切回「建立」後，會正確建立新的 index pool 並套用所選的 CRUSH rule。另外新增 Reset Endpoint：RGW 服務在其他地方（例如 Ceph Dashboard）調整後，可從 UVS Manager 重新同步 zone 與 zonegroup 的 endpoint。

系統日誌

管理介面的日誌每天自動壓縮，避免日誌目錄持續膨脹、占用系統磁碟。

常見問題

▾UniVirStor 4.19.8 的主要更新是什麼？

▾我的系統受 php2shell 影響嗎？

▾升級時服務會中斷嗎？

▾Linux 7.0 以前的核心可以掛載 CephFS 了嗎？

▾CephFS 快照會佔用多少空間？