L’image Docker PHP officielle est-elle corrigée contre PHP2Shell ?
Les mainteneurs des Docker Official Images ont fusionné une mise à jour vers 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Une mise à jour fusionnée et une image publiée pour chaque tag et chaque architecture sont deux étapes distinctes : vérifiez que le tag exact que vous utilisez a bien été reconstruit avant de vous y fier. Tant que nous n’avons pas confirmé les images publiées, le tableau ci-dessous indique les Docker Official Images comme non vérifiées. Les images tierces (éditeurs d’applications ou autres publieurs) suivent leur propre calendrier.
| Éditeur | Version | Paquet | Version du paquet corrigé | Statut |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corrigé |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corrigé |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corrigé |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corrigé |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corrigé |
| Docker Official Images | — | php | — | Non vérifié |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corrigé |
| XServer | — | PHP | — | Non vérifié |
| ConoHa WING | — | PHP | — | Non vérifié |
| ロリポップ！ | — | PHP | — | Non vérifié |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corrigé |
Vérifié entre le 21 octobre 2026 et le 22 octobre 2026.
Quel tag d’image Docker PHP utiliser ?
Utilisez un tag qui fixe une version corrigée de votre branche, par exemple un tag php:<version>-fpm ou php:<version>-apache correspondant à la version corrigée, plutôt qu’un tag flottant que vous n’avez pas vérifié. Les tags flottants comme 8.3-fpm pointent au fil du temps vers de nouvelles constructions, mais votre serveur ne les récupère que lorsqu’il retélécharge l’image et redéploie.
Comment mettre à jour un conteneur Docker PHP ?
- Changez l’image de base dans la ligne
FROMde votre Dockerfile (ou la cléimage:de votre fichier compose) pour un tag corrigé. - Reconstruisez vos propres images construites à partir d’une image PHP (ligne
FROM). Leurs anciennes constructions contiennent toujours l’ancien PHP. - Téléchargez et recréez les conteneurs avec votre procédure de déploiement habituelle, par exemple
docker compose pullsuivi dedocker compose uppour les services concernés. Conservez les volumes et les données comme le prévoit votre déploiement. - Vérifiez le PHP servi par le conteneur en cours d’exécution : lancez
php -vdans ce conteneur précis (par exemple avecdocker exec), en gardant à l’esprit que cette commande montre le PHP en ligne de commande du conteneur, et consultez le rapport propre à l’application s’il existe (comme la Santé du site de WordPress). Saisissez le résultat dans le vérificateur de version PHP.
L’image Docker de mon application n’est pas encore mise à jour : que faire ?
Le numéro de version d’une application ne dit pas quel PHP elle embarque. Consultez les notes de version ou le suivi des tickets de l’éditeur de l’image pour savoir si une mise à jour PHP2Shell existe, et notez le condensé (digest) de l’image que vous utilisez. S’il n’y a pas encore de mise à jour, vous pouvez construire votre propre image sur une base PHP corrigée, appliquer en attendant les mesures temporaires officielles (page de contournement PHP2Shell), qui réduisent l’exposition sans corriger la faille, ou restreindre l’accès au service.
J’ai récupéré le tag latest : est-ce terminé ?
Pas encore. docker pull télécharge une image ; l’ancien conteneur continue de tourner jusqu’à ce que vous le recréiez. Vérifiez chaque réplique, chaque hôte et chaque environnement (préproduction, workers, conteneurs cron), car chaque conteneur garde le PHP avec lequel il a démarré.
Et FrankenPHP ou les autres images basées sur PHP ?
FrankenPHP fait partie des configurations citées dans l’avis de PHP, et les images d’applications comme WordPress, Nextcloud ou Zabbix embarquent elles aussi PHP. Chaque éditeur reconstruit selon son propre calendrier ; nous n’avons pas vérifié toutes les images ni tous les tags. Consultez les notes de version ou le dépôt de l’éditeur pour une mise à jour PHP2Shell, et vérifiez la version de PHP dans le conteneur en cours d’exécution plutôt que de vous fier au numéro de version de l’application.
La version de PHP de l’hôte compte-t-elle pour Docker ?
Non. Le PHP d’un conteneur vient de son image, pas de l’hôte. Mettre à jour PHP sur l’hôte (voir mettre à jour PHP sur Ubuntu) ne corrige pas les conteneurs, et inversement.
Que vérifier d’autre après le redéploiement ?
Confirmez le condensé de l’image, la version de PHP et le mode d’exécution de PHP dans le conteneur qui sert le site, puis testez les fonctions principales de l’application. Si des conteneurs sont restés exposés sans correctif, suivez le guide pour vérifier si votre site a été piraté. Vue d’ensemble : vérificateur PHP2Shell · correctif PHP2Shell.
Sur quelles sources s’appuie cette page ?
- Docker Official Images : mise à jour de sécurité de PHP
- Docker : docker compose pull
- Docker : docker compose up
- The PHP Group : avis de sécurité
- Manuel PHP : php_sapi_name
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- [security] Update to 8.5.12, 8.4.27, 8.3.36, 8.2.35Éditeur Docker Official Images maintainers
- docker compose pullOfficiel Docker
- docker compose upOfficiel Docker
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- php_sapi_nameOfficiel The PHP Group