【漏洞预警】Docker Engine 爆高危漏洞，不可信 JWK/zstd 就能把进程拖垮（CVE-2026-116587）

发布日期： 2026 年 11 月 4 日
风险等级： 高危（High）
漏洞编号： CVE-2026-116587 · CVE-2026-116591
涉及镜像： library/docker — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-116587 为 7.5（High）；CVE-2026-116591 为 8.7（High）
披露时间： Engine 29.9.3 约 2026 年 11 月 3 日发布；Hub 标签约 2026 年 11 月 4 日更新后纳入本档
相关公告： Engine 29.9.3 · moby docker-v29.9.3

---

一、漏洞概述

两条都是解析不可信输入时的可用性风险。同批发行说明里还有 Swarm 相关项与 BuildKit Medium 项；本档只覆盖上述两枚 High。

---

二、漏洞状态

统计截止： 2026 年 11 月 4 日（UTC+8）

---

三、影响范围

Docker Engine、DinD，以及会把不可信 JWK/JWT 或 zstd 载荷送进上述解析路径的 API / 构建流程。

---

四、修复建议

宿主机 Engine 升到 ≥ 29.9.3。使用官方 Docker-in-Docker / CLI 镜像的，固定：

bash
docker pull docker.xuanyuan.run/library/docker:29.9.3

bash
docker pull docker.xuanyuan.run/library/docker:29.9.3-dind

Docker Hub： docker

轩辕镜像： library/docker

---

五、临时缓解措施

在升级之前：不要把不可信 JWT/JWK 或 zstd 载荷送进 Engine / 构建链路；限制谁能调用相关 API。这不能代替 29.9.3。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Docker Engine 的版本修复。宿主机 daemon 与容器内 DinD 镜像都要升到含修复的构建。基于更旧 docker: 标签二次构建的，要改基础标签后重新构建。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Docker：Engine 29.9.3
• GitHub：moby docker-v29.9.3
• NVD：CVE-2026-116587 · CVE-2026-116591
• Docker Hub：docker
• 轩辕站内镜像页：library/docker

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 11 月 4 日