原文標題：Security Update on PHP2Shell: Impact for Docker Customers

Docker 於 10 月 22 日公布 PHP2Shell 對容器使用者的影響。此次事件涉及 PHP 核心的 CVE-2026-109618 與 CVE-2026-109619，官方表示兩項漏洞可造成遠端程式碼執行，問題追溯至 PHP 5.4 以來的版本，涵蓋仍受支援的 8.2 至 8.5 系列，以及已停止維護的舊版。

PHP 專案已提供修補版本 8.5.12、8.4.27、8.3.36 及 8.2.35。Docker 強調漏洞並非出在容器引擎本身，但使用 PHP Official Images 或以 PHP 套件建立自訂映像的服務，仍可能因映像內的 PHP 版本而暴露風險。

Docker 表示已更新 Docker Official Images 與 Docker Hardened Images，建議客戶立即更新。實務上只修補主機的 Docker Engine 並不足以修復容器內 PHP；維運團隊還需檢查映像來源、基底版本、建置快取與實際執行中的容器，重新建置並部署已修補版本。

對已停止維護的 PHP 分支，官方列出的修補版本不包含那些舊版，因此相關系統應規劃升級至受支援分支。本文僅根據 Docker 的官方公告整理受影響範圍與容器應對，並不代表每一種映像標籤都已自動在客戶環境更新。

發生了什麼事

Docker 說明 PHP2Shell 對容器工作負載的風險，並更新官方與強化 PHP 映像。

為什麼重要

容器化不會隔離掉應用程式語言執行環境本身的漏洞，既有容器仍需重新部署才能真正套用修補。

影響哪些人

使用 PHP 官方映像、自建 Dockerfile、CI/CD 及 Kubernetes 叢集的維運與資安團隊都需盤點。

已確認與未確認

已確認兩個 CVE、PHP 修補版本與 Docker 映像更新；各企業是否仍執行舊映像須自行檢查。