Ist das offizielle Docker PHP Image gegen PHP2Shell gepatcht?
Die Maintainer der Docker Official Images haben ein Update auf 8.5.12, 8.4.27, 8.3.36 und 8.2.35 gemergt. Ein gemergtes Update und ein veröffentlichtes Image für jeden Tag und jede Architektur sind aber zwei verschiedene Schritte. Prüfen Sie deshalb, ob genau der Tag, den Sie nutzen, neu gebaut wurde, bevor Sie sich darauf verlassen. Solange wir die veröffentlichten Images nicht bestätigt haben, führt die Tabelle unten die Docker Official Images als nicht geprüft. Images von Drittanbietern (von App-Herstellern oder anderen Herausgebern) folgen eigenen Zeitplänen.
| Anbieter | Release | Paket | Gepatchte Paketversion | Status |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Gepatcht |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Gepatcht |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Gepatcht |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Gepatcht |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Gepatcht |
| Docker Official Images | — | php | — | Nicht verifiziert |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Gepatcht |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Gepatcht |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Gepatcht |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Gepatcht |
| XServer | — | PHP | — | Nicht verifiziert |
| ConoHa WING | — | PHP | — | Nicht verifiziert |
| ロリポップ！ | — | PHP | — | Nicht verifiziert |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Gepatcht |
Geprüft zwischen dem 21. Oktober 2026 und dem 22. Oktober 2026.
Welchen Tag des Docker PHP Image sollte ich verwenden?
Nutzen Sie einen Tag, der eine gepatchte Version Ihres Branches festschreibt, zum Beispiel einen Tag php:<version>-fpm oder php:<version>-apache passend zur gepatchten Version, statt eines gleitenden Tags, den Sie nicht geprüft haben. Gleitende Tags wie 8.3-fpm wandern mit der Zeit zu neuen Builds, auf Ihrem Host kommen sie aber erst an, wenn dort neu gepullt und neu ausgerollt wird.
Wie aktualisiere ich einen Docker-PHP-Container?
- Ändern Sie das Basis-Image in der
FROM-Zeile Ihres Dockerfiles (oder beiimage:in Ihrer Compose-Datei) auf einen gepatchten Tag. - Bauen Sie Ihre eigenen Images neu, die
FROMeinem PHP-Image starten. Deren alte Builds enthalten noch das alte PHP. - Pullen und erstellen Sie die Container neu über Ihr übliches Deployment, zum Beispiel mit
docker compose pullund anschließenddocker compose upfür die betroffenen Dienste. Behandeln Sie Volumes und Daten so, wie es Ihr Deployment vorsieht. - Prüfen Sie das PHP, das der laufende Container ausliefert: Führen Sie
php -vin genau diesem Container aus (zum Beispiel mitdocker exec). Bedenken Sie, dass das nur das Kommandozeilen-PHP des Containers zeigt, und schauen Sie zusätzlich in den Bericht der Anwendung (etwa den WordPress-Website-Zustand), falls es einen gibt. Geben Sie das Ergebnis in den PHP-Versions-Checker ein.
Das Docker-Image meiner Anwendung wurde noch nicht aktualisiert. Was kann ich tun?
Die Versionsnummer einer Anwendung verrät nicht, welches PHP sie mitbringt. Suchen Sie in den Release Notes oder im Issue-Tracker des Herausgebers nach einem PHP2Shell-Update und notieren Sie den Digest des Images, das Sie nutzen. Gibt es noch kein Update, können Sie ein eigenes Image auf einer gepatchten PHP-Basis bauen, bis dahin die offiziellen Übergangsmaßnahmen umsetzen (PHP2Shell-Workaround), die die Angriffsfläche verkleinern, aber kein Fix sind, oder den Zugriff auf den Dienst einschränken.
Ich habe den neuesten Tag gepullt. Bin ich fertig?
Noch nicht. docker pull lädt nur ein Image herunter; der alte Container läuft weiter, bis Sie ihn neu erstellen. Prüfen Sie jedes Replikat, jeden Host und jede Umgebung (Staging, Worker, Cron-Container), denn jeder Container behält das PHP, mit dem er gestartet wurde.
Was ist mit FrankenPHP und anderen PHP-basierten Images?
FrankenPHP gehört zu den Setups, die der Sicherheitshinweis von PHP ausdrücklich nennt, und auch Images für Anwendungen wie WordPress, Nextcloud oder Zabbix enthalten PHP. Jeder Herausgeber baut nach eigenem Zeitplan neu; wir haben nicht jedes Image und jeden Tag geprüft. Suchen Sie in den Release Notes oder im Repository des Herausgebers nach einem PHP2Shell-Update und prüfen Sie die PHP-Version im laufenden Container, statt sich auf die Versionsnummer der Anwendung zu verlassen.
Spielt die PHP-Version des Hosts für Docker eine Rolle?
Nein. Das PHP eines Containers stammt aus seinem Image, nicht vom Host. Ein PHP-Update auf dem Host (siehe PHP unter Ubuntu aktualisieren) patcht keine Container, und umgekehrt.
Was sollte ich nach dem erneuten Ausrollen noch prüfen?
Prüfen Sie den Image-Digest, die PHP-Version und die Art, wie PHP im ausliefernden Container läuft, und testen Sie dann die Hauptfunktionen der Anwendung. Waren Container ungepatcht erreichbar, gehen Sie die Anleitung Website gehackt prüfen durch. Überblick: PHP2Shell-Checker · PHP2Shell-Patch.
Welche Quellen belegen diese Seite?
- Docker Official Images: PHP-Sicherheitsupdate
- Docker: docker compose pull
- Docker: docker compose up
- The PHP Group: Sicherheitshinweis
- PHP-Handbuch: php_sapi_name
Prüfen Sie Ihr PHP auf PHP2Shell
Geben Sie die Version ein, die Ihre Website meldet. Wir vergleichen sie mit der ersten gepatchten Version ihres Versionszweigs und sagen Ihnen, was als Nächstes zu tun ist.
PHP2Shell-Checker →Quellen
Die Kernfakten dieser Seite (gepatchte Versionen, CVE-Details, Pakete der Anbieter und Warnungen von Behörden) stammen aus offiziellen Quellen. Forschung, Nachrichten und Community-Beiträge sind als solche gekennzeichnet.
- [security] Update to 8.5.12, 8.4.27, 8.3.36, 8.2.35Anbieter Docker Official Images maintainers
- docker compose pullOffiziell Docker
- docker compose upOffiziell Docker
- Security advisory: Critical remote code execution vulnerabilities, update nowOffiziell The PHP Group
- php_sapi_nameOffiziell The PHP Group