PHP2Shell: Docker aggiorna le immagini Official e Hardened per le due RCE

Docker ha aggiornato le Docker Official Images e le Docker Hardened Images (DHI) su Docker Hub dopo la pubblicazione di due vulnerabilità critiche in PHP, note come PHP2Shell. Riguarda chiunque costruisca container partendo da immagini PHP ufficiali o hardened: se il tag usato nel Dockerfile punta ancora a una build precedente, il container in produzione resta esposto a remote code execution non autenticata.

Cosa è successo

Martedì 20 ottobre 2026 Docker ha iniziato a tracciare due vulnerabilità critiche in PHP, CVE-2026-109618 e CVE-2026-109619, note come PHP2Shell. In sintesi: le vulnerabilità possono permettere l'esecuzione di codice remoto nel core di PHP, con entrambi i difetti legati alla gestione della memoria delle richieste. Nella CVE-2026-109618, quando PHP esaurisce la memoria a metà richiesta e interrompe l'esecuzione, alcuni percorsi di codice lasciano memoria non inizializzata che viene poi letta in fase di pulizia; nella CVE-2026-109619 lo stato interno di PHP può continuare a puntare a memoria già liberata, e una richiesta successiva usa quello stato obsoleto.

Sul fronte timeline, un'analisi tecnica indipendente (containersecurity.dev) riporta che la patch upstream di PHP è uscita il 21 ottobre alle 14:00 UTC, le Official Images sono state ricostruite e pubblicate tra le 15:48 e le 16:05 UTC dello stesso giorno, mentre le Docker Hardened Images sono state ricostruite tra le 03:12 e le 07:38 UTC del 22 ottobre.

Le versioni interessate

Le Docker Hardened Images sono già state aggiornate e rilasciate su Docker Hub, con le versioni attualmente supportate di PHP aggiornate come segue:

Branch	Da	A
8.2	8.2.34	8.2.35
8.3	8.3.35	8.3.36
8.4	8.4.26	8.4.27
8.5	8.5.11	8.5.12

Docker precisa che gli aggiornamenti alle proprie immagini sono stati completati entro 24 ore dalla disponibilità delle patch upstream, dopo i test di verifica DHI.

Cosa fare

Chi usa immagini basate su rami ormai end-of-life (5.x, 7.x, 8.0, 8.1) non trova una patch numerata su Docker Hub: per quei branch l'unica strada resta la migrazione a un ramo supportato. Per verificare se un'immagine già costruita contiene ancora le CVE si può lanciare docker scout cves --only-cve-id CVE-2026-109618,CVE-2026-109619 nome-immagine:tag. Per bloccare la versione corretta ed evitare che un tag venga risovrascritto, conviene fissare il digest immutabile con docker buildx imagetools inspect php:8.5.12-fpm --format '{{.Manifest.Digest}}' e usarlo nella FROM al posto del tag mobile.

In caso di problemi nell'accesso alle immagini aggiornate, Docker indica di rivolgersi al supporto tramite il modulo su app.docker.com/support/contact.