SecPath ACG 1000的PHP漏洞如何修复

一、关于 PHP 版本说明

1. ACG1000 属于嵌入式 i‑Ware 系统，没有对外单独披露内置 PHP 的具体小版本号，无法通过 CLI/Web 直接查看 PHP 完整版本；PHP 是设备 Web 管理后台的底层组件，不支持单独升级 PHP 包，不能手动替换 php 二进制文件，所有底层组件（PHP、lighttpd 等）只能跟随整机固件版本升级更新阿里云漏洞...。
2. 扫描报出的 PHP 相关漏洞，本质是整机固件底层组件存在缺陷；没有独立 PHP 补丁，修复手段只有升级主机系统版本，特征库 / IPS 库无法修复 PHP 底层组件漏洞（IPS 只能拦截攻击流量，不能根除组件本身漏洞）阿里云漏洞...。

⚠️重要：不要尝试解压固件提取 PHP、不要上传第三方 php 组件，会直接导致设备 Web 后台损坏、设备变砖。

二、版本升级方案（R6611P20）

你的 R6611P20 属于 R6611 分支：

1. R6611 分支最新补丁：R6611P21‑BI（硬件内存 1GB 款设备最后版本）；
2. 如果硬件内存≥2GB，可以升级更高稳定分支：R6616P02 / R6618P04，该版本对 web 底层组件（PHP、web 服务）做较多安全缺陷修复，是该硬件系列维护末期稳定版本H3C。

注意区分硬件内存：

• 1GB 内存机型最高只能升级 R6611P21‑BI，不能刷 R6616/R6618，刷入会启动异常；
• ≥2GB 内存：推荐升级至 R6618P04，修复大量 web/PHP 相关安全缺陷H3C。

获取固件途径

1. 如果设备还在维保：登录 H3C 软件下载中心直接下载对应 bin 固件包；
2. 如果过保：官网下载权限受限，联系原采购代理商调取对应版本固件，或者拨打 400‑810‑0504，提供 SN 确认硬件内存规格，确认可升级最高版本；

社区不能转发固件 bin 文件，受版权约束。

升级前强制操作

1. Web 界面完整备份配置文件、日志数据库；
2. 确认硬件内存规格：Web→系统信息查看内存大小，避免刷错固件；
3. 升级过程禁止断电；升级完成后核对业务策略、认证配置。

三、临时缓解手段（在拿到升级包之前做风险控制，仅缓解，不能根除漏洞）

1. 管理口不要放公网：ACG1000 的 Web 管理界面（TCP 80/443）禁止直接暴露在互联网；只允许内网管理 IP 访问；在前置防火墙 / ACG 自身域间策略拒绝外网访问管理端口。
2. IPS 特征库更新到最新版本：更新 IPS 库，利用攻击特征拦截针对 PHP/web 组件的探测攻击，仅作为防护手段，不是漏洞修复H3C。
3. 最小化账号权限：修改管理员密码，删除无用账号，不使用弱口令。
4. 限制登录源：Web 管理页面配置登录 IP 白名单，仅允许运维网段访问管理页面。

四、版本生命周期提醒

ACG1000 老 i‑Ware1.10 系列已经进入末期维护状态，R6611 分支不再新增功能；后续不会再有新的小补丁，PHP 类底层漏洞只能升级到现有最高维护版本；若后续出现新的高危底层漏洞，该平台将不再提供修复，长远规划建议评估硬件换代H3C。

五、排查 & 验证命令

六、常见误区

❌ 误区 1：升级 IPS / 特征库可以修复 PHP 组件漏洞

纠正：IPS 只能拦截外部攻击报文，设备内部 PHP 组件本身的代码缺陷必须整机固件升级才可以修复。

❌ 误区 2：单独上传 PHP 补丁包

纠正：嵌入式系统组件强耦合，不支持单独替换 PHP。