Docker

Security Update on PHP2Shell: Impact for Docker Customers

6.9内容质量

TL;DR · AI 摘要

Security Update on PHP2Shell: Impact for Docker Customers Docker Security Update on PHP2Shell: Impact for Docker Custome...

核心要点

  • 主题聚焦：Security Update on PHP2Shell: Impact for Docker
  • 来源：Docker，建议结合原文判断细节。
  • AI 分析暂不可用，本条为保底评分与摘要。
#AI#编程#云计算#安全#产品
打开原文

PHP2Shell安全更新：对Docker客户的影响 | Docker

PHP2Shell安全更新：对Docker客户的影响

发布于2026年10月22日

Docker 安全

概述

2026年10月20日星期二，Docker开始追踪PHP中的两个关键漏洞，CVE-2026-109618和CVE-2026-109619，这两个漏洞被统称为PHP2Shell。这些漏洞允许攻击者在PHP核心中执行远程代码，且影响范围涵盖从5.4版本回溯的PHP包，包括受支持版本8.2至8.5，以及已停止支持的版本5.x、7.x、8.0和8.1。

为解决这些漏洞，PHP发布了8.5.12、8.4.27、8.3.36和8.2.35版本，并建议所有使用PHP的用户立即升级到最新版本。

尽管这是PHP本身的漏洞而非Docker系统的问题，但仍然会影响使用PHP镜像和包构建应用的Docker用户。为此，我们已更新Docker Hub上的Docker强化镜像和Docker官方镜像，并建议客户立即升级。

事件经过

与其它软件包仓库和安全软件包提供商一样，Docker已获悉并开始追踪自5.4版本以来分发的PHP包中发现的两个关键漏洞。这两个漏洞现被统称为“PHP2Shell”，其标识为CVE-2026-109618和CVE-2026-109619。（PHP基金会已发布关于该漏洞发现的详细报告，建议阅读以获取完整背景信息。）

简而言之：这些漏洞可能允许恶意行为者在PHP核心中执行远程代码。这两个漏洞均涉及PHP处理请求内存的方式存在缺陷。在CVE-2026-109618中，当PHP在请求过程中内存不足并中止时，某些代码路径会导致内存未初始化，随后PHP的清理步骤会读取这些内存。在CVE-2026-109619中，PHP的内部状态可能继续指向已被释放的内存，后续请求会使用这种过时状态。攻击者可通过多种方式触发这两种情况，进而实现远程代码执行。

受影响的版本包括当前受支持的版本（8.2至8.5），以及已停止支持的版本5.x、7.x、8.0和8.1。

对所有PHP用户的影响

无论您是否为Docker用户，只要使用上述受影响的PHP版本，就应立即升级到最新版本。这包括PHP 8.2.35、8.3.36、8.4.27或8.5.12，或对应分支的后续版本。

对于受影响的版本没有其他全面的补救措施。升级是唯一完整的缓解途径。

如果因任何原因无法立即完成升级，我们强烈建议将系统离线，直到能够启动缓解措施。这不仅是Docker的建议，也是FBI以及网络安全领域众多专家的指导建议。

对Docker用户的影响及应对措施

虽然此漏洞存在于PHP本身而非Docker系统中，但Docker客户在应用中运行PHP时仍存在潜在风险，包括使用Docker Hub、Docker官方镜像或Docker强化镜像中的PHP镜像或包的用户。

对于Docker官方镜像用户：Docker官方镜像已更新并发布到Docker Hub，同时镜像已同步至Amazon ECR。使用这两个来源的客户应立即升级。

针对Docker强化镜像（DHI）用户：Docker强化镜像已更新并发布至Docker Hub。当前支持的PHP版本更新如下：

  • 8.2.34 → 8.2.35
  • 8.3.35 → 8.3.36
  • 8.4.26 → 8.4.27
  • 8.5.11 → 8.5.12

我们的镜像更新在上游补丁发布后24小时内完成并发布。这些镜像在成功执行DHI测试和验证流程后对外提供。

下一步

如果您在访问更新后的镜像或迁移到新版本时遇到任何问题，请通过 app.docker.com/support/contact 联系Docker支持团队。一如既往，我们感谢您在安全相关事务中的严谨态度。

安全

目录

相关文章

  • 2026年9月24日 Manufacturing Trust for AI Agents | Docker’s WeAreDevelopers Keynote

Docker的WeAreDevelopers主题演讲展示如何通过沙箱、工具包和云沙箱为AI代理提供强隔离和可复现的权限。Deanna Sparks [阅读更多](链接)

  • 2026年10月22日 Security Update on PHP2Shell: Impact for Docker Customers

2026年10月20日星期二，Docker开始追踪PHP中的两个关键漏洞（CVE-2026-109618 和 CVE-2026-109619），通常称为PHP2Shell。Docker Security [阅读更多](链接)

  • 2026年10月22日 ActiveState与Docker合作保障企业容器中的开源安全

容器安全涵盖镜像、构建和运行时。了解如何通过实际步骤缩小攻击面并防止漏洞进入生产环境。Jennifer Angeles [阅读更多](链接)

  • 2026年10月21日 您的代理运行在Docker沙箱中。现在它可以加入团队。

使用BAND AI在Docker沙箱中运行AI代理。学习如何连接隔离的代理、跨环境协作并安全地管理访问权限。Oleg Selajev [阅读更多](链接)