Immagine Docker PHP: ricostruire e ridistribuire per correggere PHP2Shell

L’immagine Docker ufficiale di PHP è corretta per PHP2Shell?

I maintainer delle Docker Official Images hanno integrato un aggiornamento a 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Un aggiornamento integrato e un’immagine pubblicata per ogni tag e architettura sono passaggi distinti, quindi verifica che il tag esatto che usi sia stato ricostruito prima di farci affidamento. Finché non abbiamo confermato le immagini pubblicate, la tabella qui sotto indica le Docker Official Images come non verificate. Le immagini di terze parti (dei fornitori delle applicazioni o di altri autori) seguono tempi propri.

Quale tag dell’immagine Docker PHP devo usare?

Usa un tag che fissi una versione corretta del tuo ramo, per esempio un tag php:<version>-fpm o php:<version>-apache corrispondente alla versione corretta, invece di un tag mobile che non hai controllato. I tag mobili come 8.3-fpm puntano nel tempo a build nuove, ma il tuo host le riceve solo quando scarica l’immagine e ridistribuisce.

Come aggiorno un container Docker con PHP?

1. Cambia l’immagine di base nella riga FROM del Dockerfile (o in image: nel file compose) con un tag corretto.
2. Ricostruisci le tue immagini che partono FROM un’immagine PHP. Le loro build vecchie contengono ancora il PHP vecchio.
3. Scarica e ricrea i container con la tua normale procedura di deployment, per esempio docker compose pull seguito da docker compose up per i servizi interessati. Mantieni volumi e dati come previsto dal tuo deployment.
4. Verifica il PHP che il container in esecuzione serve: lancia php -v dentro quel container specifico (per esempio con docker exec), tenendo presente che mostra il PHP da riga di comando del container, e controlla il report dell’applicazione se ne ha uno (come Salute del sito di WordPress). Inserisci il risultato nel PHP version checker.

L’immagine Docker della mia applicazione non è ancora aggiornata. Cosa posso fare?

Il numero di versione di un’applicazione non dice quale PHP contiene. Controlla le note di rilascio o l’issue tracker dell’autore dell’immagine per un aggiornamento PHP2Shell, e annota il digest dell’immagine che usi. Se non c’è ancora un aggiornamento, valuta di costruire un’immagine tua su una base PHP corretta, di applicare nel frattempo le misure temporanee ufficiali (pagina sul workaround PHP2Shell), che riducono l’esposizione ma non sono una correzione, oppure di limitare l’accesso al servizio.

Ho scaricato il tag latest. Ho finito?

Non ancora. docker pull scarica un’immagine; il container vecchio resta in esecuzione finché non lo ricrei. Controlla ogni replica, host e ambiente (staging, worker, container per i cron), perché ogni container conserva il PHP con cui è partito.

E FrankenPHP e le altre immagini basate su PHP?

FrankenPHP è una delle configurazioni citate dall’advisory di PHP, e anche le immagini di applicazioni come WordPress, Nextcloud o Zabbix incorporano PHP. Ogni autore ricostruisce con i propri tempi; non abbiamo verificato ogni immagine e ogni tag. Controlla le note di rilascio o il repository dell’autore per un aggiornamento PHP2Shell, e verifica la versione di PHP dentro il container in esecuzione invece di fidarti del numero di versione dell’applicazione.

La versione di PHP dell’host conta per Docker?

No. Il PHP di un container arriva dalla sua immagine, non dall’host. Aggiornare PHP sull’host (vedi aggiornare PHP su Ubuntu) non corregge i container, e viceversa.

Cos’altro devo controllare dopo la ridistribuzione?

Verifica il digest dell’immagine, la versione di PHP e il modo in cui PHP gira nel container che serve il sito, poi controlla le funzioni principali dell’applicazione. Se i container sono rimasti esposti senza patch, segui la guida per controllare se il sito è stato hackerato. Panoramica: verificatore PHP2Shell · patch PHP2Shell.

Quali fonti sostengono questa pagina?

• Docker Official Images: aggiornamento di sicurezza PHP
• Docker: docker compose pull
• Docker: docker compose up
• The PHP Group: advisory di sicurezza
• Manuale PHP: php_sapi_name