Docker Desktop 4.98.0 — CVE-2026-112917 (AF_VSOCK / WSL2) + CVE-2026-98432

Суть#

CVE-2026-112917: по Docker — контейнер на бэкенде WSL 2 мог bypass ограничения AF_VSOCK. CVSS 9.2 (CNA security@docker.com, лента). CVE-2026-98432: UAF в IPv4 TCP handling ядра Linux — фикс указан в том же Security-блоке 4.98.0. Exploitation in the wild Docker не заявляет; KEV нет → info / сайт-only.

NVD/лента иногда дают иную формулировку (seccomp / socketcall) — в текстах приоритет у release notes Docker.

Затронуто и исправлено#

CVE-2026-98432 — все установки Desktop < 4.98.0 (Windows Hyper-V / WSL2 / Mac / Linux). CVE-2026-112917 — только Windows + WSL 2 (Settings → «Use the WSL 2 based engine») + WSL < 3.0.3. 4.98.0 ставить всем; WSL ≥ 3.0.3 — дополнительно для закрытия 112917 на WSL 2.

Эксплуатация#

• Docker notes: только «Fixed CVE-…».
• KEV / CERT exploited — нет на отборе 05.11.2026.
• PoC-ссылки не публикуем.

Как проверить#

# Версия приложения Desktop — только UI «О Docker Desktop» / About
# (или: docker desktop version — если установлен Desktop CLI)
# НЕ использовать: docker version  → это Client/Engine, не 4.98.0

# Бэкенд WSL 2?
# Settings → General → Use the WSL 2 based engine

# WSL
wsl --version
# нужно ≥ 3.0.3; нет флага --version — inbox WSL устарел, обновить через Store / ИТ

Критерий 98432: Desktop ≥ 4.98.0. Критерий 112917 на WSL2: Desktop ≥ 4.98.0 и WSL ≥ 3.0.3.

Как исправить#

1. Обновить Docker Desktop до 4.98.0+ (in-app «Проверить обновления» / Software updates или установщик с сайта; у Docker тоже поэтапная раскатка — до недели).
2. Снять pin/hold < 4.98.0 в winget/SCCM/Intune/внутреннем каталоге; проверить, что auto-update Desktop не выключен намеренно.
3. На Win+WSL2: wsl --update / Store → WSL 3.0.3+; при необходимости перезагрузка Windows.
4. Quit Docker Desktop → Start; сверка About + wsl --version. Не считать закрытым по факту политики без сверки номеров.

Если обновить нельзя#

Официального workaround кроме обновления нет. Compensating: не запускать недоверенные образы; ограничить членство в группе docker-users; не экспонировать Docker API/socket в сеть; сетевая изоляция CI-агентов на старых хостах.

Признаки взлома и что делать#

IoC в notes нет. При подозрении на злоупотребление контейнером одного обновления Desktop/WSL мало: ротация секретов/токенов на хосте, аудит образов и compose, пересоздание окружения.

Источники#

• https://docs.docker.com/desktop/release-notes/#4980
• https://github.com/microsoft/WSL/releases/tag/3.0.3

NVD/EUVD — номерами CVE-2026-112917, CVE-2026-98432 без URL.