Docker 与容器镜像

重启原有容器不会安装 PHP 补丁。需拉取已修复基础镜像、重建应用镜像，并替换所有运行容器。生产环境固定经验证的镜像摘要，滚动更新后逐副本检查。自建及厂商镜像需单独提供补丁依据。示例使用 PHP 8.4.27 FPM，Compose 服务占位符须换成真实名称。

2. 安装含补丁的构建

首个修复版本为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。选择当前受支持分支或兼容的新分支，同步升级扩展，并测试应用兼容性与健康检查。从 PHP 或对应厂商渠道获取构建；CMS 更新和 WAF 规则均不能代替解释器补丁。

四个分支，明确的升级目标。
PHP 分支低于此版本的上游发行版首个修复版本安全支持结束
PHP 8.5< 8.5.12✓ 8.5.122029年12月31日
PHP 8.4< 8.4.27✓ 8.4.272028年12月31日
PHP 8.3< 8.3.36✓ 8.3.362027年12月31日
PHP 8.2< 8.2.35✓ 8.2.352026年12月31日
仍在使用 PHP 8.1 或更早版本？

这些分支不会获得 PHP 项目常规版本更新。7.4、8.0、8.1 有最小源码回移植；厂商补丁状态需单独核实。 阅读指南 ↗

3. 重启并验证所有实例

新文件不会自动替换内存中的旧工作进程。mod_php 需要重启 Apache，FPM 需重启对应服务及进程池，也要重启常驻队列和计划任务。检查服务启动时间、Web 实际版本、包修订、健康状态和每个负载均衡副本。临时诊断页用完立即删除，切勿公开保留 phpinfo()。

命令示例 / DOCKER

shell
# Example base image: choose a supported, patched branch.
FROM php:8.4.27-fpm

# Rebuild from a patched base, then replace running containers.
docker compose build --pull --no-cache
docker compose up -d --force-recreate
docker compose exec <php-service> php -v
docker compose images

一手来源与延伸阅读

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
下一步3. 重启并验证所有实例 ↗