Executive Overview & Architektonische Bedeutung

Am 20. Oktober 2026 begann Docker mit der Verfolgung zweier kritischer Schwachstellen, die zusammenfassend als „PHP2Shell“ bezeichnet werden – konkret erfasst unter CVE-2026-109618 und CVE-2026-109619. Diese Schwachstellen mit hohem Schweregrad befinden sich direkt im PHP-Core und betreffen eine umfangreiche Reihe von PHP-Paketen bis zurück zur Version 5.4, einschließlich nicht mehr unterstützter End-of-Life (EOL)-Zweige (5.x, 7.x, 8.0, 8.1) sowie derzeit unterstützter Zweige (8.2 bis 8.5). Während der Vektor der Schwachstelle in der Upstream-PHP-Laufzeitumgebung und nicht in Dockers Orchestrierungs-Engine oder Control Plane liegt, sind die architektonischen Auswirkungen auf containerisierte Umgebungen gravierend. Docker-Ökosysteme, die auf PHP-basierten Microservices, monolithischen Anwendungen oder benutzerdefinierten Container-Builds basieren, sind grundlegend potenziellen Remote Code Execution (RCE)-Vektoren ausgesetzt, wenn sie nicht gepatcht werden.

Als Reaktion auf die von der PHP Foundation veröffentlichten Upstream-Patches handelte Docker schnell, um seine Benutzerbasis zu schützen. Sowohl Docker Official Images als auch Docker Hardened Images (DHI), die auf Docker Hub gehostet und auf Amazon ECR gespiegelt werden, wurden innerhalb eines kurzen Zeitfensters von 24 Stunden vollständig neu kompiliert, getestet und in die Produktion überführt. Diese Release-Analyse unterstreicht die kritische Dringlichkeit dieser Updates, untersucht die zugrundeliegenden Speicherverwaltungsfehler, skizziert die genauen Image-Tag-Änderungen und etabliert einen maßgeblichen Migrations-Blueprint für Enterprise-Engineering-Teams, die Cloud-native PHP-Workloads im großen Maßstab betreiben.

Kernverbesserungen & Entwickler-Ergonomie

Die Upstream-Sicherheits-Patches – gipfelnd in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 – beheben direkt tiefgreifende Speicherverwaltungsfehler im PHP-Interpreter. Speziell adressiert CVE-2026-109618 ein kritisches Speicherauslastungsszenario, bei dem Speicherlimits während einer Anfrage überschritten werden und der Ausführungsthread abbricht. Es wurde festgestellt, dass bestimmte Ausführungscode-Pfade zugewiesene Speicherpuffer vor der internen Bereinigungssequenz der Engine uninitialisiert ließen, wodurch nachfolgende Leseoperationen sensible Laufzeitdaten abgreifen oder den Ausführungsfluss manipulieren konnten. Gleichzeitig zielt CVE-2026-109619 auf eine Use-After-Free-Schwachstelle ab, bei der interne Statusvariablen des Interpreters hängende Zeiger (Dangling Pointer) auf Speicherblöcke behalten, die bereits vom Speicherverwalter freigegeben wurden. Dies schafft einen deterministischen Pfad für bösartige Payloads, um Remote Code Execution auszulösen.

Aus Sicht der Entwickler-Ergonomie und der Supply-Chain-Sicherheit minimiert Dockers schnelle Integration dieser Patches Reibungsverluste im Betrieb. Entwickler müssen weder Anwendungslogik umschreiben noch die Quellcode-Architektur refaktorisieren; stattdessen beruht die Schadensbegrenzung vollständig auf der Unveränderlichkeit von Basis-Images und schnellen Tag-Promotionen. Indem sichergestellt wird, dass Docker Official Images und Docker Hardened Images die gehärteten PHP-Laufzeitumgebungen nativ enthalten, können Entwicklungsteams die Sicherheitsupdates nahtlos übernehmen, indem sie einfach ihre Manifestdeklarationen aktualisieren und CI/CD-Wiederaufbau-Pipelines (Continuous Integration / Continuous Deployment) auslösen.

Architektonischer Vergleichsmatrix

Breaking Changes & Migrationshinweise

Dieses Sicherheitsupdate ist vollständig abwärtskompatibel mit vorherigen Anwendungscodebasen, die auf unterstützten PHP-Zweigen (8.2, 8.3, 8.4 und 8.5) laufen. Es gibt keine Breaking Changes bei der Syntax, keine Verwerfungen von Standardbibliotheksfunktionen oder Änderungen an Erweiterungskonfigurationsdirektiven (php.ini), die durch diese Upstream-Patches eingeführt wurden. Engineering-Teams, die Anwendungen auf End-of-Life (EOL)-PHP-Zweigen (5.x, 7.x, 8.0, 8.1) pflegen, stehen jedoch vor einer schwerwiegenden architektonischen Einschränkung: Upstream-Maintainer haben keine Patches für diese Legacy-Versionen herausgegeben. Folglich kann Docker keine sicheren Container-Images für EOL-Zweige bereitstellen. Organisationen, die ihre Anwendungscodebasen nicht auf eine unterstützte, gepatchte PHP-Version aktualisieren können, müssen ihre Systeme vollständig isolieren oder sich einem kritischen, ungeminderten Remote-Code-Execution-Risiko stellen.

Schritt-für-Schritt-Upgrade-Anleitung

Um die Anfälligkeit für die PHP2Shell-Schwachstellen zu beseitigen, müssen Engineering-Teams sofort ihre Container-Basis-Images aktualisieren und ihre Produktions-Deployments neu erstellen. Führen Sie die folgenden Schritte aus, um Ihre Umgebung zu sichern:

1. Überprüfen Sie Ihr Dockerfile-Basis-Image: Suchen Sie das Dockerfile Ihrer Anwendung und identifizieren Sie die aktuelle FROM-Anweisung, die auf vulnerable PHP-Tags verweist.
2. Image-Tags aktualisieren: Ändern Sie das Tag so, dass es direkt auf die neu gepatchten Versionen verweist (z. B. Übergang von php:8.4.26-fpm zu php:8.4.27-fpm oder dem entsprechenden Docker Hardened Image Äquivalent).
3. Neubau und Deployment: Führen Sie Ihren Container-Build-Befehl aus und führen Sie ein Rolling Deployment über Ihre Container-Orchestrierungsplattform hinweg durch.

# Aktualisiertes Dockerfile-Konfigurationsbeispiel
FROM php:8.4.27-fpm

WORKDIR /var/www/html

COPY . /var/www/html

RUN composer install --no-dev --optimize-autoloader

EXPOSE 9000
CMD ["php-fpm"]

Überprüfen Sie die Integrität Ihres Deployments, indem Sie die PHP-Laufzeitversion im laufenden Container mit php -v überprüfen, um sicherzustellen, dass die Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 (oder