Die Herkunft des Images verstehen

Erfassen Sie Basisimage, eigene Erweiterungen und den Ablauf des Builds. Eine Anwendung kann PHP aus dem Basisimage beziehen oder während des Builds zusätzliche Pakete installieren. Für Sicherheitsmeldungen müssen diese Bestandteile gemeinsam betrachtet werden, statt nur den sichtbaren Imagenamen zu prüfen.

Docker empfiehlt regelmässige Neubauten und einen bewussten Umgang mit Basisimages und Cache. Für den Betrieb sollte klar sein, wann ein neues Basisimage tatsächlich in einen Anwendungsbuild gelangt. Ein unveränderter Name oder Tag allein belegt diesen Schritt nicht.

Alle laufenden Instanzen berücksichtigen

Prüfen Sie nach der Bereitstellung, welcher Build tatsächlich die Anfragen verarbeitet. Nehmen Sie auch Worker für Warteschlangen, geplante Jobs und selten gestartete Aufgaben auf. Ein aktualisiertes Webfrontend kann sonst weiterhin mit einem älteren Hintergrunddienst zusammenarbeiten.

Bei mehreren Instanzen empfiehlt sich ein kontrollierter Austausch mit klaren Zustandsprüfungen. Definieren Sie, wann eine Instanz als einsatzbereit gilt und wann der Vorgang gestoppt wird. Eine bloss gestartete Laufzeit ist noch kein Beweis für funktionierende Datenbankverbindungen oder vollständige Anwendungskonfiguration.

Daten und Rückfallplanung mitdenken

Containerwechsel und Datenwiederherstellung sind unterschiedliche Vorgänge. Klären Sie, welche Daten dauerhaft ausserhalb des Containers liegen und ob eine Änderung deren Format berührt. Ein älteres Image lässt sich nicht automatisch gefahrlos mit bereits veränderten Daten betreiben.

Dokumentieren Sie den freigegebenen Build, die betroffenen Dienste und die nachgewiesenen Funktionen. Verhindern Sie anschliessend, dass ein automatischer Prozess wieder einen veralteten Stand ausrollt. Damit bleibt die Korrektur auch nach dem nächsten Neustart oder Skalierungsvorgang erhalten.

Ihre Checkliste für den nächsten Schritt

  • Basisimage und eigenen Build eindeutig identifizieren.
  • Web-, Queue- und Job-Container gemeinsam erfassen.
  • Rückfallplanung mit dem tatsächlichen Datenstand abstimmen.

Häufige Fragen

Aktualisiert ein Neustart automatisch PHP?

Nicht zwingend. Wenn dieselbe alte Imageversion erneut gestartet wird, bleibt der Softwarestand unverändert. Build und Bereitstellung müssen überprüft werden.

Sind Container grundsätzlich von PHP-Lücken ausgenommen?

Nein. Die enthaltene Laufzeit kann betroffen sein. Containergrenzen und Ressourcenregeln ergänzen die Absicherung, ersetzen aber keine erforderlichen Korrekturen.

Quellen & weiterführende Informationen

Docker: Build Best Practices ↗PHP: Sicherheitsinformationen ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.