So aktualisieren Sie PHP-basierte Docker-Apps sicher auf Ihrem Heimserver

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

Conceptual guide: UPDATE WITHOUT GUESSWORK. Protect state; Replace image; Test + recover.

Ein PHP-Sicherheitspatch in einem Container kommt normalerweise über ein neu erstelltes Image. Das Image herunterzuladen und in Betrieb zu nehmen sind getrennte Schritte. Ihr Aktualisierungsplan muss außerdem die Datenbank und persistenten Dateien schützen, die den Container überdauern.

Sichern Sie Anwendungsdaten, gegebenenfalls die zugehörige Datenbank und die Konfiguration, bevor Sie das Image ändern. Laden Sie eine unterstützte, gepatchte Version herunter, erstellen Sie den Dienst neu, prüfen Sie den Ersatz-Container und testen Sie die kritische Aktion für Benutzer, bevor Sie die Aktualisierung als abgeschlossen vermerken.

1. Aktuelle Bereitstellung dokumentieren

Bestätigen Sie mit docker compose ps das Projektverzeichnis und die Dienstnamen. Notieren Sie die aktuellen Image-Tags und Image-IDs mit docker compose images sowie die Speicherorte persistenter Volumes und des Datenbankzustands. Speichern Sie eine geschützte Kopie der Compose-Konfiguration, ohne Geheimnisse in freigegebenen Protokollen offenzulegen.

Prüfen Sie in den Versionshinweisen des Ziel-Images, ob der PHP-Fix enthalten ist. Ein Tag namens latest belegt nicht, dass ein bestimmter Patch enthalten ist. Wenn Sie einen Digest festlegen, muss dieser auf den verifizierten Ersatz-Digest geändert werden.

2. Konsistente Sicherung erstellen

Verwenden Sie die dokumentierte Sicherungsmethode der Anwendung. Sichern Sie die Konfiguration, Dateien und eine Datenbank aus einem konsistenten Wiederherstellungspunkt. Sorgen Sie, falls erforderlich, dafür, dass Schreibvorgänge ausgesetzt oder der Wartungsmodus aktiviert werden. Eine Dateisystemkopie eines laufenden Datenbankverzeichnisses ist kein universeller Ersatz für eine gültige Datenbanksicherung.

Bewahren Sie die Wiederherstellungskopie außerhalb des Schreibzugriffs der Anwendung auf und stellen Sie sicher, dass Sie wissen, wie sie wiederhergestellt wird. Bewahren Sie die vorherige Konfiguration und den Image-Verweis auf. Beachten Sie jedoch, dass ein altes, anfälliges Image nach der Wiederherstellung nicht direkt wieder öffentlich zugänglich sein sollte.

3. Gewünschten Dienst herunterladen und neu erstellen

Bei einem vom Maintainer veröffentlichten Image aktualisieren Sie den Image-Verweis des Dienstes auf eine kompatible, festgelegte Version und verwenden dann dieses Beispiel im richtigen Projektverzeichnis. Ersetzen Sie app durch den Dienst Ihrer PHP-Anwendung:

docker compose pull app
docker compose up -d --no-deps app
docker compose ps
docker compose exec -T app php -v

Docker dokumentiert, dass pull Images herunterlädt, ohne Container zu starten, und up Änderungen an Images oder Konfigurationen durch Neuerstellen der Container übernimmt. Hier beschränkt --no-deps die Änderung auf den ausgewählten Dienst. Verwenden Sie diese Option nur, wenn abhängige Dienste bereits fehlerfrei laufen und kompatibel sind.

Aktualisieren Sie bei eigenen Builds die entsprechende PHP-Basis oder die Pakete, erstellen Sie das Image über Ihre übliche Build-Pipeline neu und stellen Sie das resultierende Image bereit. Wiederholen Sie dies für Worker, die diese Laufzeitumgebung verwenden. Nehmen Sie keine Patches in einer flüchtigen Container-Shell vor und gehen Sie nicht davon aus, dass die Korrektur nach einer Neuerstellung erhalten bleibt.

4. Anwendung validieren, bevor Sie den Zugriff wieder öffnen

Prüfen Sie lokal die Protokolle auf Startfehler, ohne Tokens oder private Pfade weiterzugeben. Bestätigen Sie die Web-Laufzeitumgebung und testen Sie anschließend die Anmeldung, das Durchsuchen von Dateien, einen kleinen Upload und eine Hintergrundaufgabe. Überprüfen Sie, ob Volume-Pfade und Berechtigungen weiterhin dem vorgesehenen Layout entsprechen.

Wenn der öffentliche Zugriff eingeschränkt wurde, stellen Sie ihn erst wieder her, nachdem Versions- und Funktionstests bestanden wurden. Ein grüner Containerstatus allein belegt nicht, dass Uploads oder Hintergrundaufgaben funktionieren.

5. Bei fehlgeschlagener Validierung gezielt wiederherstellen

Isolieren Sie den Dienst während der Untersuchung. Stellen Sie Anwendungsdateien und Datenbankzustand gemeinsam wieder her, wenn die Migrationsregeln der App dies erfordern; nach einer Schemaaktualisierung kann es unsicher sein, nur das Image zu ändern. Verwenden Sie docker compose down -v nicht als Abkürzung zur Fehlerbehebung, da dadurch benannte Volumes entfernt werden können.

Trennen Sie als ZimaCube-2-Nutzer das Update-Protokoll von Ihren Massendateien und erstellen Sie unabhängige Backups. Ein Update ist erst dann erfolgreich abgeschlossen, wenn eine bekannte Laufzeitumgebung vorliegt, die Anwendungsfunktionen funktionieren und ein Wiederherstellungsweg besteht, den Sie noch erklären können.

Entdecken Sie ZimaCube 2 Personal Cloud Home NAS für Ihren privaten Speicher und die Einrichtung selbst gehosteter Anwendungen. Die Softwaresicherheit hängt von den installierten Diensten, ihrer Konfiguration und nachweislich durchgeführten Updates ab.

Setzen Sie die PHP-Sicherheitsreihe fort

Quellen und Umfang

Geprüft am 22. Oktober 2026. Bereitstellungsempfehlungen müssen auf Ihre Anwendung und die Dokumentation des Anbieters abgestimmt werden; diese Artikel belegen keine produktspezifische Gefährdung.