A localização real do arquivo, não o symlink, é o que determina se suexec
irá executá-lo. Essa configuração é compilada em suexec
e, para alterar, seria necessário recompilá-la. Por padrão, seria em /var/www
que você já mencionou é sua configuração. Isso significa que você precisaria recompilar suexec
para permitir que /app
fosse a raiz aceita para suexec
ou você precisaria mover / copiar os arquivos reais dentro da raiz suexec
configurada.