PHP2Shell and eMudhra Patched

PHP2Shell 和 eMudhra 补丁发布

可信基础

发布于 2026 年 10 月 23 日

Vishrut Iyengar

本周同时发生了两起安全事件：PHP2Shell 和 eMudhra 证书泄露。两者都触及到了其应用程序所依赖的基础架构。

PHP2Shell 是 PHP 引擎本身的两个关键漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619。这些漏洞允许未经身份验证的请求在服务器上执行任意代码，影响所有 PHP 应用程序，无论其自身代码多么谨慎。PHP 负责运行约 69% 的已知服务器端语言网站。

eMudhra 事件则属于另一种类型的问题。证书颁发机构 eMudhra 的 8 个中间证书被发现其私钥可以从公开证书中计算得出，这使得任何人都可以为任意网站签发被浏览器接受的证书。虽然浏览器会自行撤销此类证书，但容器镜像自带信任存储，除非重新构建，否则会持续信任这些证书。

Docker Hardened Images 在 24 小时内发布修复版 PHP 镜像

dhi.io/php 镜像在上游版本发布后 24 小时内，于 10 月 22 日早些时候基于补丁后的 PHP 重新构建并发布。拉取当前标签即可获得修复版本。少数捆绑自定义 PHP 应用的 DHI 镜像（如 composer 和 nextcloud）会跟随其上游项目同步更新。

全目录重建，标签可验证

证书泄露事件影响了整个镜像目录，因为每个镜像都包含信任存储。PHP 发布后的 48 小时内，DHI 构建系统在目录中执行了 16,567 次软件包和镜像构建。到 10 月 22 日 UTC 时间晚 10 点时，几乎所有目录标签都已更新至修复后的 CA 存储，其余大部分正在构建队列中。这一比例数据来自随每个镜像提供的 SBOM，可为每个发布标签检查其携带的 CA 存储和 PHP 版本，用户也可以对拉取的任意内容执行相同检查。

如何确保环境已覆盖修复

如果使用 Docker Hardened Images 运行 PHP，请拉取对应分支的当前标签并重新部署，同时重建所有基于 DHI 镜像构建的上层应用，以获取新基础镜像：docker pull dhi.io/php:8.4

通过 DHI 企业工作流构建的定制化镜像会在基础层补丁后自动重建。对于证书修复，所有基于 DHI 基础镜像（无论是否为 PHP）构建的镜像均适用此规则。10 月 22 日的 Docker 安全更新列出了受影响的 PHP 版本及支持路径。

如果在其他容器中运行 PHP，请检查容器内部实际运行的 PHP 版本（而非外部标签），并基于补丁后的基础镜像重新构建。

从可信基础构建

类似这样的事件会持续发生，但可信基础将决定最终结果。

如果尚未使用加固镜像构建，本周就是警钟和行动的起点。这两起事件都触及了基础架构，修复也必须在镜像本身实现——在任何人拉取之前，从修复后的源代码重新构建。

Docker 加固镜像正是为此而设计。Docker 从源代码构建、修补并维护每个镜像中的系统软件包，其构建系统是事件驱动的，因此上游版本发布或软件包变更会触发所有依赖项的重建。每个镜像都带有签名，并附有 SBOM、SLSA 构建等级 3 的来源信息和 VEX 数据，这使得如此大规模的重建既可衡量又可执行。

该目录基于 Apache 2.0 协议免费开源，每个镜像的 CVE 漏洞数量接近于零。它与团队当前使用的 Alpine 和 Debian 保持兼容，因此采用只需在 Dockerfile 的 FROM 语句中进行一行修改，无需额外迁移项目。DHI Select 和 DHI Enterprise 提供 SLA 保障的修复服务，可在 7 天内完成关键 CVE 修复，提供 FIPS 和 STIG 变体，支持在保持保证的前提下进行镜像定制，并为上游已停止补丁的版本提供扩展生命周期支持。所有内容均包含在 Docker 加固镜像目录中，今日即可免费拉取使用。

关于作者

Docker 首席产品市场经理

Vishrut Iyengar 是 Docker 安全领域的首席产品市场经理，专注于 Docker 加固镜像、供应链安全以及保障 AI 代理构建内容的安全性。

代理 AI

安全

产品

目录

相关文章

• 2026年9月24日 为 AI 代理建立信任 | Docker WeAreDevelopers 主题演讲 Docker WeAreDevelopers 主题演讲展示了沙箱、工具包和云沙箱如何为 AI 代理提供强大的隔离和可复现的权限。Deanna Sparks 立即阅读

• 可信基础 2026年10月23日 PHP2Shell 和 eMudhra 修复 PHP2Shell 漏洞和 eMudhra 证书泄露事件发生在同一周。Docker 在 24 小时内发布了修复后的 PHP 镜像，并重建了整个目录中的信任存储。Vishrut Iyengar 立即阅读

• 2026年10月22日 PHP2Shell 安全更新：对 Docker 客户的影响 2026年10月20日星期二，Docker 开始追踪 PHP 中的两个关键漏洞 CVE-2026-109618 和 CVE-2026-109619，通常被称为 PHP2Shell。Docker 安全团队 立即阅读

• 2026年10月22日 ActiveState 与 Docker 合作保障企业容器中的开源安全 容器安全涵盖镜像、构建和运行时阶段。查看实际步骤，缩小攻击面并防止漏洞进入生产环境。Jennifer Angeles 立即阅读