主 题：忽略了 Docker 里的 CDT 监控里面也有 php
发 布 者：liuhaidong
标签分类： 日常
时 间：2026-10-22 10:31:39
内容预览：简单的服务器检测的时候，发现用的开源的 CDT 监控 PHP 版本也在这次范围AI 升级了下Docker 容器里的 PHP 也可能中招。 Docker 提供隔离，但不会自动修复容器内的 PHP 漏洞；升级宿主机或宝塔 PHP，也不会更新容器里的 PHP。可以分成两层风险：- 容器内被入侵：攻击者可能读取数据库、云平台 AccessKey、通知凭据，修改程序，或利用容器发起网络请求。- 宿主机受影响：不一定能直接突破容器，但如果容器使用特权模式、挂载 Docker socket 或宿主机敏感目录，影响可能扩大。你的 cdt-monitor 之前确实存在风险：虽然端口只监听本机，但通过 Nginx 域名对外提供服务，外部请求仍会进入 PHP。它不是特权容器，检查到的挂载只有数据目录，这限制了部分影响范围；但容器内保存的云平台凭据仍然重要。
直达链接： https://www.nodeseek.com/post-1000616-1
发 布 者：liuhaidong
标签分类： 日常
时 间：2026-10-22 10:31:39
内容预览：简单的服务器检测的时候，发现用的开源的 CDT 监控 PHP 版本也在这次范围AI 升级了下Docker 容器里的 PHP 也可能中招。 Docker 提供隔离，但不会自动修复容器内的 PHP 漏洞；升级宿主机或宝塔 PHP，也不会更新容器里的 PHP。可以分成两层风险：- 容器内被入侵：攻击者可能读取数据库、云平台 AccessKey、通知凭据，修改程序，或利用容器发起网络请求。- 宿主机受影响：不一定能直接突破容器，但如果容器使用特权模式、挂载 Docker socket 或宿主机敏感目录，影响可能扩大。你的 cdt-monitor 之前确实存在风险：虽然端口只监听本机，但通过 Nginx 域名对外提供服务，外部请求仍会进入 PHP。它不是特权容器，检查到的挂载只有数据目录，这限制了部分影响范围；但容器内保存的云平台凭据仍然重要。
直达链接： https://www.nodeseek.com/post-1000616-1
