Imagem Docker do PHP: refaça o build e o deploy para corrigir o PHP2Shell

A imagem Docker oficial do PHP já está corrigida para o PHP2Shell?

Os mantenedores das Docker Official Images fizeram o merge de uma atualização para 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Uma atualização mesclada e uma imagem publicada para cada tag e arquitetura são etapas separadas, então confira se a tag exata que você usa já foi reconstruída antes de confiar nela. Enquanto não confirmarmos as imagens publicadas, a tabela abaixo lista as Docker Official Images como não verificadas. Imagens de terceiros (de fornecedores de aplicações ou de outros publicadores) seguem cronogramas próprios.

Qual tag da imagem Docker do PHP devo usar?

Use uma tag que fixe uma versão corrigida do seu ramo, por exemplo uma tag php:<versão>-fpm ou php:<versão>-apache correspondente à versão corrigida, em vez de uma tag flutuante que você não conferiu. Tags flutuantes como 8.3-fpm passam para builds novos com o tempo, mas o seu host só os recebe quando faz pull e um novo deploy.

Como atualizo um contêiner Docker do PHP?

1. Troque a imagem base na linha FROM do seu Dockerfile (ou no image: do seu arquivo compose) por uma tag corrigida.
2. Refaça o build das suas próprias imagens que começam com FROM numa imagem PHP. Os builds antigos continuam com o PHP antigo.
3. Faça o pull e recrie os contêineres pelo seu processo normal de deploy, por exemplo docker compose pull seguido de docker compose up para os serviços afetados. Mantenha volumes e dados como o seu deploy espera.
4. Confirme o PHP que o contêiner em execução serve: rode php -v dentro daquele contêiner específico (por exemplo com docker exec), lembrando que isso mostra o PHP de linha de comando do contêiner, e confira o relatório da própria aplicação (como a Saúde do site do WordPress), se houver. Informe o resultado no verificador de versão do PHP.

A imagem Docker da minha aplicação ainda não foi atualizada. O que posso fazer?

O número de versão da aplicação não diz qual PHP vem embutido. Confira as notas de versão ou o issue tracker de quem publica a imagem em busca de uma atualização para o PHP2Shell e anote o digest da imagem que você usa. Se não houver atualização, considere fazer o build da sua própria imagem sobre uma base PHP corrigida, aplicar enquanto isso as medidas temporárias oficiais (página de mitigação do PHP2Shell), que reduzem a exposição mas não corrigem, ou limitar o acesso ao serviço.

Fiz pull da tag latest. Já terminei?

Ainda não. O docker pull baixa uma imagem; o contêiner antigo continua rodando até você recriá-lo. Confira cada réplica, host e ambiente (staging, workers, contêineres de cron), porque cada contêiner mantém o PHP com que foi iniciado.

E o FrankenPHP e outras imagens baseadas em PHP?

O FrankenPHP é um dos ambientes citados no boletim do PHP, e imagens de aplicações como WordPress, Nextcloud ou Zabbix também embutem o PHP. Cada publicador refaz as imagens no seu próprio ritmo; não verificamos todas as imagens e tags. Consulte as notas de versão ou o repositório do publicador em busca de uma atualização para o PHP2Shell e confirme a versão do PHP dentro do contêiner em execução, em vez de confiar no número de versão da aplicação.

A versão do PHP do host importa para o Docker?

Não. O PHP de um contêiner vem da imagem, não do host. Atualizar o PHP no host (veja atualizar o PHP no Ubuntu) não corrige os contêineres, e vice-versa.

O que mais devo conferir depois do novo deploy?

Confirme o digest da imagem, a versão do PHP e como o PHP roda dentro do contêiner que atende o site, e depois teste as funções principais da aplicação. Se os contêineres ficaram expostos sem correção, siga o guia para verificar se o site foi hackeado. Visão geral: verificador PHP2Shell · correção do PHP2Shell.

Quais fontes embasam esta página?

• Docker Official Images: atualização de segurança do PHP
• Docker: docker compose pull
• Docker: docker compose up
• The PHP Group: boletim de segurança
• Manual do PHP: php_sapi_name