【重要公告】用友U8+产品云部署安全提醒公告

导读：本文由用友官方社区（U8 官方）于 2026-10-23 发布，泉州市登泽信息科技有限公司整理转载，供泉州地区用友 U8 用户参考。

（V2.0 20261103更新）

适用范围：U8 V165、V18+ 云部署环境　

关于系统与数据库选型、云服务商选择、端口开放及服务收敛的安全加固要求

本次新增第五及第六部分：重点补丁及近期出现的某款勒索病毒安全配置，之前已设置可直接跳转至对应部分

各 U8 云部署用户：

近期，集团收到部分客户反馈：云部署环境直接暴露于公共网络，其攻击面明显大于内网部署，遭受端口扫描、暴力破解、入侵攻击及数据泄露、中勒索病毒的风险显著升高。为协助各单位切实降低安全风险，现就 U8（V165、V18）云部署环境的操作系统与数据库选型、云服务商选择、端口开放策略及不必要服务收敛等事项提醒如下，请各单位结合自身实际环境，对照自查、逐项落实。

一、操作系统与数据库

1. 版本选择：服务器操作系统与 SQL Server 均应选择较新版本。U8 安装手册中标注为"不推荐"的版本不得使用，即不建议使用 Windows Server 2016 与 SQL Server 2016。

2. 推荐配置：操作系统使用 Windows Server 2022 或更高版本，数据库使用 SQL Server 2022 或更高版本，具体见表 1。

3. 补丁更新：云部署服务器应及时安装 Windows 与 SQL Server 的月度安全更新，建议将其纳入日常运维检查项。

表 1　操作系统与数据库版本建议

U8社区推文参考：👉戳蓝字直接跳转【U8+强烈推荐】用友U8+产品-操作系统、数据库、浏览器推荐支持一览表（更新18.0版本）

二、云服务商选择

1. 推荐使用阿里云、腾讯云。此类服务商除提供云主机外，还在主机内附带针对云服务器优化的安全软件，并提供基础网络安全服务、Windows 内网补丁服务等配套能力。

2. 不建议使用纯设备租用类服务商。此类环境通常缺少上述安全配套，防护责任与实施成本主要由用户自行承担。

三、端口开放策略

云部署 U8 应优先采用 U8 远程接入方式，其次才考虑传统客户端／服务器方式。

（一）优选方案：采用 U8 远程接入

1. 安全收益：使用 U8 远程方式无需对外开放 U8 业务端口，可显著缩小网络攻击面，网络安全性大幅提高。

2. 使用体验：当云服务器与客户端不在同一城市时，U8 远程的流畅性明显优于传统客户端／服务器方式。

3. 端口要求：不同远程产品的端口开放要求见表 2。

4. 费用提示：采用 U8 远程方式，无论使用 U8 OEM 的异速联，还是直接向金万维采购的云联、天联高级版，均需额外付费。

表 2　远程接入方式端口开放对照

（二）备选方案：采用传统客户端／服务器方式

如确需配置传统客户端／服务器方式，须落实以下要求。

1. 网络端口开放

1.1 应用服务器的 11525、11520 端口必须公网可访问。该两个端口为固定端口，不可修改。

1.2 U8 报表服务默认使用 TCP 9023 端口，可在 U8 应用服务管理界面中修改。

1.3 数据库端口必须公网可访问，且务必修改 SQL Server 默认端口。建议将端口设置在 49152–65535 区间，该区间默认为动态出站端口池，被黑客端口扫描命中的概率相对较小。修改位置：SQL Server Configuration Manager → SQL Server 网络配置 → MSSQLSERVER 的协议 → TCP/IP。

1.4 在 U8 应用服务配置工具中配置数据源时，端口号使用数据库连接串的逗号语法，而非 HTTP 中常见的冒号，例如 sqldbsrv,53123。

1.5 U8 不支持通过端口映射改变端口号。内网与外网必须使用同一端口，不允许出现内网为 1433、外网映射为 3341 的情形。

1.6 U8 极少数功能依赖 Windows DTC。如需在公网使用这些功能，请另行参阅 U8 DTC 配置相关文档。

2. 机器名配置

应用服务器上的数据源、加密服务器地址均必须配置机器名，并完成相应解析：

2.1 在服务器内网其他机器的 HOST 文件中，将机器名对应到服务器内网 IP；

2.2 在外网客户端的 HOST 文件中，将服务器机器名对应到服务器公网 IP。

3. 数据库账号与口令

务必设置较长的数据库密码，防止被暴力破解。不得使用默认的 sa 用户，建议禁用 sa，并另行创建专用数据库账号。

4. 通信加密（TDS8）

4.1 采用U8+ AI Ultra与 SQL Server 2022 组合时支持更为安全的 TDS8 通信，建议在 SQL Server 中配置通信证书并开启 TDS8。

4.2 U8 V18 同样可以开启 TDS8 通信，操作为：安装 CP-U8V18.0-140621-260923-LS 或更高版本的 LS 补丁；修改 U8SOFT\AppServer\Bin\Framework\UFAppServerMgr.exe.config 中 EnableStrictDBConn、EnableMandatoryDBConn 两个配置项，将 auto 设置为 true。

四、收敛不必要的服务与组件

云部署环境应遵循"按需启用、不用即关"的最小化原则，及时禁用未使用的服务、删除未使用的 IIS 虚拟目录与页面文件，减少可被利用的入口。各项服务与组件的处置建议见表 3。

表 3　服务与组件处置建议

五、重要的安全补丁

云部署环境应及时安装以下类别的重要安全补丁，对应关系见表 4。

特别提示：近期已发生利用 U8 文件服务器"任意文件上传漏洞"实施的勒索攻击，对应补丁为后缀 FS 的补丁，请务必优先、及时安装 FS 补丁，并同步落实 SMC、LS、BS 补丁，尤其是 FS。

表 4 重要安全补丁类别及作用

六、安全相关配置

（一）SQL Server 运行账号

SQL Server 安装后默认运行账号为 NT Service\MSSQLSERVER，但 U8 安装后会将其改为 localsystem，后者权限过高，需要改回。

1、目前各版本支持改回的情况如下：

（1） U8+ AI Ultra：安装后不会修改 SQL Server 服务的运行账号，会保持 NT Service\MSSQLSERVER 不变。

（2）U8 V18.0：支持改回。

（3） U8 V16.5：由于 U8 文件服务器、U8 自动备份、账套导入导出需要，暂不支持改回，请关注后续后缀为 FS、AA 补丁的更新情况。

2、改回 NT Service\MSSQLSERVER 的方法：

（1）打开 SQL Server 配置管理器。

（2）右键"SQL Server 服务"属性，切换到"登录"选项卡。

（3）在"登录身份"下，选择"此账户"（部分 SQL 版本为"本账户"）。

（4）在账户名输入 NT Service\MSSQLSERVER。

（5）将"密码"和"确认密码"字段留空，系统会自动为该虚拟账户管理密码。

（6）点击"应用"完成设置。

（7）重启 SQL Server 服务生效。

（二）SQL Server 组件选择

1、 安装 SQL Server 时，仅需选择"实例功能 → 数据库引擎服务"一项即可，U8 无需其他功能。

2、全选 SQL Server 所有功能会造成安装时间特别长、占用大量磁盘与内存空间，还会增大被攻击面。

3、若已安装SQL Server非必要功能，需在 SQL Server 配置管理器中禁用Polybase、SSAS和ReportService服务。

（三）IIS 组件选择

IIS功能无需全选安装。将 U8安装盘 3rdProgram 目录中的 IISSET.bat 文件拷贝到本机磁盘，在管理员权限的命令行中执行它，即可安装恰好满足 U8 需要的 IIS 组件。

（四）针对近期出现的某款勒索病毒

近期发现某款勒索病毒可以让 U8DispatchService.exe 服务成为勒索病毒的进程加载器，但 U8DispatchService.exe 的设计并不会开启子进程。

1. 若操作系统为 Windows Server 2019 或更高版本，可使用 PowerShell 脚本开启审计，阻止 U8DispatchService.exe 开启子进程。Windows Server 2016 或更低版本无法使用本方案。

2. 执行以下命令开启审计：

Set-ProcessMitigation -Name U8DispatchService.exe -Enable DisallowChildProcessCreation

3. 开启审计后，阻止日志可在事件查看器中查看，路径为：应用程序和服务日志 → Microsoft → Windows → Security-Mitigations → KernelMode。

4. 同理，报表服务也需要此设置：

Set-ProcessMitigation -Name UFIDA.U8.UAP.ReportService.exe -Enable DisallowChildProcessCreation

（五）U8 的 demo 账号

请注意 U8 中是否引入了演示账套，引入演示账套后会自动引入 demo 账号，请务必确认演示账套 demo 的密码是否足够复杂。

七、落实要求

1. 请各单位安排运维或实施人员对照本公告逐项核查，形成整改记录。涉及服务禁用、端口调整、配置变更的操作，应先完成数据库与配置文件备份，建议在停机窗口内实施。

2. 涉及补丁安装、IIS 虚拟目录及页面文件删除等操作，如无把握，请联系服务商或代理商协助实施，避免影响业务正常运行。

3. 对暂不具备整改条件的项目，应至少完成端口收敛、sa 账号禁用与数据库弱口令整改三项高风险项，并制定后续整改计划。

特此公告。

泉州地区用友 U8/U8+、畅捷通 T+ 的选型、实施、二次开发与日常运维问题，欢迎联系泉州市登泽信息科技有限公司沟通交流。