【漏洞预警】Docker Desktop 爆严重漏洞，WSL2 下容器可借 32 位 socketcall 摸到宿主文件（CVE-2026-112917）

发布日期： 2026 年 11 月 5 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-112917 · CVE-2026-98432
涉及镜像： docker/desktop-storage-provisioner — 轩辕镜像 · Docker Hub（辅助组件；主修复为 Desktop 安装包）
CVSS： CVE-2026-112917 为 9.2（Critical）；CVE-2026-98432 为 9.8（Critical）
披露时间： Docker Desktop 4.98.0（2026-11-03）
相关公告： Desktop 4.98.0 · WSL 3.0.3

---

一、漏洞概述

CVE-2026-112917（容器隔离绕过）

在 Windows x86-64 + WSL2 后端上，默认 seccomp 没有限制 32-bit socketcall。容器内可用它绕过对 AF_VSOCK 的限制，从而碰到面向主机的服务，以及当前登录用户能访问的 Windows 文件。属于容器 → 宿主逃逸类问题。

不在范围内： LinuxKit / Hyper-V 后端、macOS / Linux Desktop、ARM Windows。

CVE-2026-98432（捆绑内核）

同版 Desktop 还修了 Linux 内核 IPv4 TCP UAF（Critical 9.8），走的是 Desktop 捆绑内核路径，可致崩溃或提权风险。

---

二、漏洞状态

统计截止： 2026 年 11 月 5 日（UTC+8）

---

三、影响范围

开发者 Windows 工作站启用 WSL2 引擎，并运行不可信容器 / 镜像的环境。

---

四、修复建议

1. 升级 Docker Desktop ≥ 4.98.0
2. 管理员 PowerShell 执行 wsl --update，确认 WSL ≥ 3.0.3
3. 执行 wsl --shutdown 后重新启动 Desktop
4. 用 wsl --version 与 docker version 核对

辅助组件可固定：

bash
docker pull docker.xuanyuan.run/docker/desktop-storage-provisioner:v5.0

主修复仍以 Desktop 安装包与 WSL 更新为准，不要只换辅助镜像。

Docker Hub： desktop-storage-provisioner

轩辕镜像： docker/desktop-storage-provisioner

---

五、临时缓解措施

在升到 4.98.0 + WSL 3.0.3 之前：不要在受影响工作站上跑不可信镜像；可临时改用不受 112917 覆盖的后端（需自行评估可用性）。这不能代替完整升级。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Docker Desktop / WSL 的版本修复。加速拉取辅助镜像不会自动升到 4.98.0。请在本机完成 Desktop 与 WSL 升级。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Docker：Desktop 4.98.0
• GitHub：WSL 3.0.3
• NVD：CVE-2026-112917 · CVE-2026-98432
• Docker Hub：desktop-storage-provisioner
• 轩辕站内镜像页：docker/desktop-storage-provisioner

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 11 月 5 日