Imagen Docker PHP: reconstruye y vuelve a desplegar para corregir PHP2Shell

¿Está corregida la imagen oficial de PHP en Docker para PHP2Shell?

Los mantenedores de las Docker Official Images fusionaron una actualización a 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Fusionar una actualización y publicar la imagen para cada etiqueta y arquitectura son pasos distintos, así que comprueba que la etiqueta exacta que usas se ha reconstruido antes de confiar en ella. Mientras no hayamos confirmado las imágenes publicadas, la tabla de abajo muestra las Docker Official Images como «No verificado». Las imágenes de terceros (de los fabricantes de aplicaciones o de otros publicadores) siguen su propio calendario.

¿Qué etiqueta de la imagen Docker de PHP debo usar?

Usa una etiqueta que fije una versión corregida de tu rama, por ejemplo una etiqueta php:<versión>-fpm o php:<versión>-apache que coincida con la versión corregida, en lugar de una etiqueta flotante que no hayas revisado. Las etiquetas flotantes como 8.3-fpm van apuntando a compilaciones nuevas con el tiempo, pero tu servidor solo las recibe cuando descarga la imagen y vuelve a desplegar.

¿Cómo actualizo un contenedor Docker de PHP?

1. Cambia la imagen base en la línea FROM de tu Dockerfile (o en el image: de tu archivo compose) por una etiqueta corregida.
2. Reconstruye tus propias imágenes que parten (FROM) de una imagen de PHP. Sus compilaciones antiguas siguen llevando el PHP antiguo.
3. Descarga y recrea los contenedores con tu proceso de despliegue habitual, por ejemplo docker compose pull seguido de docker compose up para los servicios afectados. Conserva los volúmenes y los datos como espere tu despliegue.
4. Confirma el PHP que sirve el contenedor en marcha: ejecuta php -v dentro de ese contenedor concreto (por ejemplo con docker exec), teniendo en cuenta que muestra el PHP de línea de comandos del contenedor, y revisa el informe de la propia aplicación si lo tiene (como la Salud del sitio de WordPress). Introduce el resultado en el comprobador de versión de PHP.

La imagen Docker de mi aplicación aún no se ha actualizado. ¿Qué hago?

El número de versión de una aplicación no te dice qué PHP incluye. Revisa las notas de versión o el gestor de incidencias del publicador de la imagen por si hay una actualización para PHP2Shell, y anota el digest de la imagen que ejecutas. Si no hay actualización, plantéate construir tu propia imagen sobre una base de PHP corregida, aplicar mientras tanto las medidas temporales oficiales (página de mitigación de PHP2Shell), que reducen la exposición pero no son una corrección, o limitar el acceso al servicio.

Ya he descargado la etiqueta más reciente. ¿He terminado?

Todavía no. docker pull descarga una imagen; el contenedor antiguo sigue en marcha hasta que lo recreas. Revisa cada réplica, cada servidor y cada entorno (staging, workers, contenedores de cron), porque cada contenedor conserva el PHP con el que arrancó.

¿Y FrankenPHP y otras imágenes basadas en PHP?

FrankenPHP es una de las instalaciones que menciona el aviso de PHP, y las imágenes de aplicaciones como WordPress, Nextcloud o Zabbix también incluyen PHP. Cada publicador reconstruye a su ritmo; no hemos verificado todas las imágenes ni todas las etiquetas. Revisa las notas de versión o el repositorio del publicador por si hay una actualización para PHP2Shell, y confirma la versión de PHP dentro del contenedor en marcha en lugar de fiarte del número de versión de la aplicación.

¿Importa la versión de PHP del anfitrión en Docker?

No. El PHP de un contenedor viene de su imagen, no del anfitrión. Actualizar PHP en el anfitrión (consulta actualizar PHP en Ubuntu) no parchea los contenedores, ni al revés.

¿Qué más debo revisar después de volver a desplegar?

Confirma el digest de la imagen, la versión de PHP y cómo funciona PHP dentro del contenedor que sirve la web, y después prueba las funciones principales de la aplicación. Si los contenedores estuvieron expuestos sin parchear, repasa la guía para comprobar si tu web está hackeada. Visión general: comprobador PHP2Shell · parche de PHP2Shell.

¿Qué fuentes respaldan esta página?

• Docker Official Images: actualización de seguridad de PHP
• Docker: docker compose pull
• Docker: docker compose up
• The PHP Group: aviso de seguridad
• Manual de PHP: php_sapi_name