A localização real do arquivo, não o symlink, é o que determina se suexec irá executá-lo. Essa configuração é compilada em suexec e, para alterar, seria necessário recompilá-la. Por padrão, seria em /var/www que você já mencionou é sua configuração. Isso significa que você precisaria recompilar suexec para permitir que /app fosse a raiz aceita para suexec ou você precisaria mover / copiar os arquivos reais dentro da raiz suexec configurada.