Docker里的PHP也要升级：旧镜像可能藏着两个高危RCE漏洞

胖磊酱_7952

发布时间：2026-10-22 11:30:48

470人浏览过

来源于php中文网

原创

docker不会自动帮你修好镜像里的php漏洞，正确流程是先拉取或者重新构建打好补丁的新镜像，再把所有正在运行的旧容器全部替换掉。只更新宿主机系统、重启旧容器，完全达不到修复效果。

PHP 官方网站相关页面截图

镜像标签更新了，正在跑的容器可能根本没变化

镜像本质就是某一时刻，软件和它所有依赖打包出来的快照。哪怕镜像仓库里同一个标签，已经指向了打好补丁的新镜像摘要，之前已经创建好的容器也不会自动同步更新。哪怕你在宿主机上装了最新版PHP解释器，也改不了容器文件系统里存的旧可执行文件，这是容器安全更新里最容易踩的坑，很多人都漏了这步。

Docker 官方说明镜像是软件与依赖的不可变快照

这次的PHP漏洞出在解释器内部的内存处理和请求状态管理逻辑里，业务代码没有变化，也不能排除旧镜像的风险；具体利用条件仍与运行模式、构建和应用行为有关。内存不足可能打断当前请求的初始化或清理流程，请求结束后仍在运行的工作进程可能保留失效状态，并在后续请求中误用。请求终止不等于整个工作进程退出。

立即学习“PHP免费学习笔记（深入）”；

容器的权限、资源隔离机制，只能限制漏洞能造成的部分影响，完全修不了PHP本身的代码缺陷。你直接把旧容器重启一遍，跑的还是原来那套旧代码，安全隔离边界和运行时补丁本来就是两件完全独立、需要分开维护的事。

先确认你用的是官方上游镜像，还是自己打包的业务镜像

来源	更新对象	验收重点
直接使用官方 PHP 镜像	重新拉取合适的标签	实际 PHP 版本和摘要
基于 PHP 构建业务镜像	刷新基础镜像并重建	扩展、构建参数与产物
镜像内安装发行版包	更新包层并重新构建	供应商完整修复包号

上游官方放出的首个安全修复版本是PHP 8.2.35、8.3.36、8.4.27和8.5.12。如果你用的是不带版本号的浮动标签，能不能拿到补丁全看镜像维护者有没有及时同步更新，光拉取镜像成功不代表里面的PHP版本就对了。正式上线前一定要把经过校验的可信镜像摘要记录下来，别只靠标签名判断版本。

自建业务镜像的标准更新步骤

第一步，先把当前在用的镜像摘要、容器配置、挂载清单全部备份留存，确认所有持久化数据都没有只存在于容器的可写层，再核验一遍全量数据库备份，避免重建容器后用户上传文件这类数据丢失。
第二步，拉取最新的基础镜像之后重新构建业务镜像，同步检查PHP扩展和系统依赖的兼容性。要注意，构建缓存有没有失效、基础镜像有没有更新是完全独立的两件事，要分开逐一确认，不能混为一谈。

Docker Image Puller
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。

下载
第三步，先在测试环境跑一遍版本门槛校验和全量业务回归测试，确认没问题再创建新容器。单节点环境提前安排好维护窗口，多副本集群就先摘除流量逐个滚动切换，别让还没更新的旧副本继续留在服务池里对外提供服务。

# 自建镜像：在项目目录构建，不会自动改线上容器
docker build --pull --no-cache -t my-php-app:security-20261022 .
# 直接使用远端镜像的 Compose 服务，php 是示例服务名
docker compose pull php
docker compose up -d --no-deps --force-recreate php
# 切换后检查真实运行容器，而不是仅查看本地镜像
docker compose exec -T php php -v

Compose 官方文档说明镜像变化后重建容器的行为

上面给出的是两种不同场景的命令示例，别不加判断直接全部执行。自己打包镜像的用户，要把新构建的产物配置到实际部署的服务里；直接用远端官方镜像的用户，要额外核对镜像标签和摘要。命令里的php只是示例服务名，你得换成自己Compose配置文件里对应的实际服务名。

给官方上游镜像额外加一层版本校验门槛

<?php
// 仅适用于上游官方 PHP 镜像；发行版回补包不能直接套用此规则。
$minimum = ['8.2'=>'8.2.35','8.3'=>'8.3.36','8.4'=>'8.4.27','8.5'=>'8.5.12'];
$branch = PHP_MAJOR_VERSION . '.' . PHP_MINOR_VERSION;
$floor = $minimum[$branch] ?? null;
$ready = $floor !== null && version_compare(PHP_VERSION,$floor,'>=');
printf("Runtime: %s\nRequired: %s\nGate: %s\n", PHP_VERSION,
    $floor ?? 'unsupported branch', $ready ? 'PASS' : 'REBUILD REQUIRED');
exit($ready ? 0 : 2); // 未达上游门槛时让 CI 停止发布。

把这段代码存为audit.php，放到待上线的候选镜像里，直接执行php audit.php就可以完成校验。演示环节我们用的是PHP 8.5.10 WebAssembly运行环境，实际跑出来的结果会提示需要重建，退出码为2，这个操作只是用来验证拦截逻辑，不会真的执行Docker构建操作。

只读示例的真实运行输出：旧演示运行时未达到门槛，检查程序返回需要重建