Docker atualiza imagens PHP após falhas críticas PHP2Shell
A Docker passou a monitorar as CVE-2026-109618 e CVE-2026-109619 em 20/10/2026, atualizou imagens oficiais e Hardened no Hub e pede atualização imediata.
Foto: Wolfgang Weiser (Pexels)
A Docker informou nesta quinta-feira, 22 de outubro de 2026, que desde terça-feira, 20 de outubro, acompanha duas falhas críticas no PHP — Hypertext Preprocessor —, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas como PHP2Shell. Segundo o comunicado, as brechas permitem execução remota de código no núcleo da linguagem e atingem pacotes desde a versão 5.4, incluindo as linhas suportadas 8.2 a 8.5 e as já fora de suporte 5.x, 7.x, 8.0 e 8.1.
A empresa reforça que o problema está no PHP, não nos sistemas da Docker, mas afeta quem constrói aplicações a partir de imagens e pacotes PHP. Em resposta, atualizou as Docker Hardened Images e as Docker Official Images no Docker Hub e orienta clientes a migrar de imediato.
O que aconteceu
De acordo com a Docker, as duas vulnerabilidades — acompanhadas também por outros repositórios e provedores de pacotes — estão ligadas à forma como o PHP gerencia a memória das requisições. Na CVE-2026-109618, quando o interpretador esgota memória no meio de uma requisição e aborta, certos caminhos deixam memória sem inicializar e a etapa de limpeza acaba lendo esse conteúdo. Na CVE-2026-109619, o estado interno pode continuar apontando para memória já liberada, e uma requisição seguinte usa esse estado obsoleto. Em ambos os casos, atacantes teriam várias vias para transformar a condição em execução remota de código.
Para corrigir o problema, o projeto PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 e pediu atualização imediata. A Docker afirma que não há mitigação completa além dessa atualização e, se a correção não puder ser aplicada de imediato, recomenda colocar o sistema offline até haver remediação — orientação alinhada, segundo a empresa, também ao Federal Bureau of Investigation (FBI) e a especialistas em cibersegurança.
No ecossistema de containers, as Docker Official Images já foram republicadas no Docker Hub e espelhadas no Amazon Elastic Container Registry (ECR). Nas Docker Hardened Images, as linhas suportadas de PHP subiram de 8.2.34 para 8.2.35, de 8.3.35 para 8.3.36, de 8.4.26 para 8.4.27 e de 8.5.11 para 8.5.12. A Docker diz ter concluído e liberado as imagens em até 24 horas após os patches upstream, após testes e verificação do processo DHI.
O cenário coincide com a corrida por correções descrita pela BBC Technology: organizações e empresas seguem atualizando sistemas após a revelação de falhas críticas no PHP, linguagem usada há décadas no desenvolvimento web. Segundo a reportagem, sites foram tirados do ar na quarta e na quinta-feira, pesquisadores alertaram para risco a milhões de sites sem patch e o governo do Reino Unido esteve entre os que desligaram alguns serviços por precaução. Até a publicação da BBC, não havia relatos de ataques bem-sucedidos, embora especialistas alertem que efeitos podem demorar meses para aparecer por completo.
O que isso pode mudar
Para times que empacotam aplicações web em containers, a janela crítica tende a ser menos a descoberta em si e mais a velocidade com que imagens e dependências PHP deixam de carregar versões vulneráveis. Quem ainda puxa tags antigas do Hub ou mantém bases 5.x, 7.x, 8.0 ou 8.1 pode permanecer exposto mesmo após o anúncio dos patches — o que, na prática, pressiona pipelines de build, inventário de imagens e políticas de atualização contínua.
Se a recomendação de colocar sistemas offline quando a atualização não for imediata for seguida em larga escala, operações digitais podem enfrentar interrupções pontuais, em linha com o que a BBC descreveu sobre serviços limitados fora do ar no Reino Unido. Em contrapartida, a republicação rápida das imagens oficiais e Hardened pode reduzir o tempo de remediação para quem já depende do Hub ou do espelho no ECR, desde que a atualização seja de fato aplicada nos ambientes de produção.
No médio prazo, o episódio pode reforçar a exigência de rastrear CVEs em camadas da cadeia de software — da linguagem às imagens base — e de tratar versões fora de suporte como risco estrutural, não como detalhe técnico. A medida em que a exploração ou a ausência dela se confirme nas próximas semanas e meses, conforme o próprio tom cauteloso da cobertura britânica, deve definir se PHP2Shell ficará como alerta operacional de curto prazo ou como marco de revisão de práticas de patch em larga escala.
Fontes: Docker Blog · BBC Technology
Leia mais em: www.mundodosnegocio.com.br