From 4b0f15096364dcb46aa49b0e5992729cce79f35f Mon Sep 17 00:00:00 2001 From: Patrick Asmus Date: Wed, 21 Oct 2026 23:11:52 +0200 Subject: [PATCH] fix: update to official PHP 8.4.27 release and include upload_progress mitigation by default --- Dockerfile | 1 + README.md | 10 +++++----- config/php_security.ini | 3 +++ 3 files changed, 9 insertions(+), 5 deletions(-) create mode 100644 config/php_security.ini diff --git a/Dockerfile b/Dockerfile index 39a4a63..e8e5732 100644 --- a/Dockerfile +++ b/Dockerfile @@ -24,6 +24,7 @@ COPY config/h5ai.conf /etc/nginx/conf.d/h5ai.conf COPY config/php_set_timezone.ini /etc/php84/conf.d/00_timezone.ini COPY config/php_set_jit.ini /etc/php84/conf.d/00_jit.ini COPY config/php_set_memory_limit.ini /etc/php84/conf.d/00_memlimit.ini +COPY config/php_security.ini /etc/php84/conf.d/99_security.ini COPY config/supervisord.conf /etc/supervisor/conf.d/supervisord.conf # Copy h5ai diff --git a/README.md b/README.md index 8715dbc..b47fa88 100644 --- a/README.md +++ b/README.md @@ -1,10 +1,10 @@ # h5ai Docker (mit PHP 8.4 Security-Patch) [![Docker Image](https://img.shields.io/badge/docker-git.techniverse.net-blue?logo=docker)](https://git.techniverse.net/scriptos/-/packages/container/h5ai-docker) -[![PHP Version](https://img.shields.io/badge/PHP-8.4.26-777BB4?logo=php)](https://www.php.net/) +[![PHP Version](https://img.shields.io/badge/PHP-8.4.27-777BB4?logo=php)](https://www.php.net/) [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](./LICENSE) -Dieses Repository stellt ein einsatzbereites, schlankes Docker-Image für **h5ai** (v0.30.0) auf Basis von **Alpine Linux**, **Nginx** und **PHP 8.4.26** bereit. +Dieses Repository stellt ein einsatzbereites, schlankes Docker-Image für **h5ai** (v0.30.0) auf Basis von **Alpine Linux**, **Nginx** und **PHP 8.4.27** bereit. Es schließt die kritischen Sicherheitslücken **PHP2Shell** ([CVE-2026-109618](https://nvd.nist.gov/vuln/detail/CVE-2026-109618) & [CVE-2026-109619](https://nvd.nist.gov/vuln/detail/CVE-2026-109619)) durch den offiziellen PHP 8.4-Patch. @@ -15,7 +15,7 @@ Es schließt die kritischen Sicherheitslücken **PHP2Shell** ([CVE-2026-109618]( ```yaml services: h5ai: - image: git.techniverse.net/scriptos/h5ai-docker:0.30.0-php8.4.26 + image: git.techniverse.net/scriptos/h5ai-docker:0.30.0-php8.4.27 container_name: h5ai-download hostname: h5ai-download restart: unless-stopped @@ -49,8 +49,8 @@ networks: Das Image ist öffentlich auf der Techniverse Package Registry verfügbar: -* `git.techniverse.net/scriptos/h5ai-docker:0.30.0-php8.4.26` -* `git.techniverse.net/scriptos/h5ai-docker:latest-php8.4.26` +* `git.techniverse.net/scriptos/h5ai-docker:0.30.0-php8.4.27` +* `git.techniverse.net/scriptos/h5ai-docker:latest-php8.4.27` --- diff --git a/config/php_security.ini b/config/php_security.ini new file mode 100644 index 0000000..a02f799 --- /dev/null +++ b/config/php_security.ini @@ -0,0 +1,3 @@ +; Security hardening for CVE-2026-109618 / CVE-2026-109619 +[Session] +session.upload_progress.enabled = Off