docker build --pull прошёл, а PHP остался уязвимым: как теги образов замораживаются молча

Тег php:8.2-fpm-bullseye не обновлялся с 5 августа 2025 года и несёт уязвимый PHP 8.2.29, php:8.2-fpm и php:8.2-fpm-trixie — это один и тот же digest, а wordpress:latest совпадает по digest с wordpress:php8.3-apache. Шесть механизмов, которыми Docker-теги обманывают при закрытии PHP2Shell (CVE-2026-109618 и CVE-2026-109619), проверка версии PHP в теге одним запросом без pull и сборка своего образа 8.0.30 с официальным бэкпортом.