PHP en Docker: por qué actualizar el servidor no basta
El PHP del sistema anfitrión puede ser distinto al de la aplicación. Sigue la cadena entre imagen base, construcción y contenedor activo para verificar una actualización.
Una aplicación PHP dentro de Docker normalmente utiliza el intérprete incluido en su imagen, no el PHP instalado en el sistema anfitrión. Actualizar paquetes en el VPS puede dejar intacto ese entorno. Para acreditar el cambio necesitas seguir la cadena completa: imagen base, imagen de aplicación y contenedores que realmente atienden peticiones.
Esta guía se centra en esa cadena de despliegue. Para identificar versiones en otros entornos, consulta cómo comprobar el PHP efectivo de una web.
1. Identificar todos los servicios que ejecutan PHP
Localiza el servicio web, los trabajadores de colas y las tareas programadas. Pueden utilizar imágenes o construcciones diferentes. Que la web tenga un intérprete actualizado no demuestra que el proceso que importa pedidos use el mismo.
Anota para cada servicio la imagen de origen, su identificador, el archivo de construcción y la configuración del despliegue. Incluye réplicas y entornos de pruebas accesibles. Trabaja sobre el despliegue activo, no solo sobre un archivo que quizá ya no se utiliza.
2. Comprobar de dónde sale el paquete
PHP puede venir de una imagen preparada o instalarse como paquete durante la construcción. La corrección debe llegar por esa vía. Una etiqueta de imagen no demuestra por sí sola qué contenido está ejecutándose, especialmente si cambia con el tiempo.
Si fijas imágenes mediante digest, una nueva publicación del proveedor no cambia automáticamente el contenido fijado. Si utilizas etiquetas móviles, tampoco debes asumir que una construcción reutilizó la base más reciente. Registra el identificador de la imagen que has comprobado.
3. Renovar la base y reconstruir cuando corresponda
Docker recomienda reconstruir imágenes periódicamente y explica cómo actualizar las bases y gestionar la caché de construcción en sus buenas prácticas. Para tu aplicación, revisa además las extensiones y dependencias que incorpora el proceso.
La ausencia de cambios en el código del proyecto no significa que no haya nada que desplegar. El cambio puede estar únicamente en la base o en un paquete. Tampoco conviene convertir la actualización manual de un contenedor en el procedimiento habitual: el siguiente despliegue podría perderla.
4. Sustituir los contenedores activos
Descargar o construir una imagen no reemplaza los contenedores que ya están arrancados. Y reiniciar un contenedor existente no lo convierte en otro creado a partir de la imagen nueva.
Planifica la sustitución mediante tu sistema de despliegue, conservando volúmenes y configuración necesarios. Revisa cómo finalizar trabajos pendientes para no interrumpirlos o repetir operaciones. Un cambio de imagen debe tener una estrategia de recuperación que no dependa de borrar datos persistentes.
5. Validar web, tareas y réplicas
Comprueba el intérprete desde los servicios sustituidos y ejecuta recorridos representativos. Prueba una operación dinámica, una tarea de fondo y una conexión externa cuando formen parte de la aplicación. Correlaciona cualquier error con el cambio realizado.
Si conviven instancias antiguas y nuevas, las respuestas pueden ser intermitentes. La comprobación debe cubrir todas las réplicas y no limitarse a una visita a la portada. Registra imagen desplegada, servicios sustituidos y pendientes.
El ejemplo de PHP2Shell
Docker publicó el 22 de octubre de 2026 un aviso específico sobre PHP2Shell y la actualización de sus imágenes PHP. El aviso ilustra por qué una vulnerabilidad del intérprete también exige revisar las aplicaciones contenerizadas.
Consulta el artículo de PHP2Shell para el alcance y las novedades del aviso; este procedimiento no sustituye la comprobación del paquete corregido.
Si necesitas mantener esa cadena reproducible, podemos revisar servidores Linux, la actualización de PHP y el mantenimiento de aplicaciones. Una actualización verificable debe sobrevivir al siguiente despliegue.