【漏洞预警】Docker Engine 29.9.3 安全修复：JWK/zstd DoS 与 Swarm 控制面/overlay 风险（CVE-2026-116591） - 轩辕镜像技术博客

本文使用的 Docker 镜像

发布日期： 2026 年 11 月 4 日
更新日期： 2026 年 11 月 5 日
更新内容： 补报同版本 Swarm 两项：encrypted overlay 在 firewalld 冲刷后可能失效（CVE-2026-115538）；worker 证书短窗升 manager（CVE-2026-115539）。修复口径仍为 Engine ≥29.9.3。
风险等级： 高危（High）
漏洞编号： CVE-2026-116591 · CVE-2026-116587 · CVE-2026-115538 · CVE-2026-115539
涉及镜像： library/docker — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-116591 为 8.7；CVE-2026-116587 为 7.5。Swarm 两项本档 NVD 尚无独立 CVSS
披露时间： Engine 29.9.3 约 2026 年 11 月 3 日发布
相关公告： Engine 29.9.3 · moby docker-v29.9.3

一、漏洞概述

编号	路径	后果
CVE-2026-116587	go-jose 解析恶意 RSA JWK / 相关 JWT	CPU 耗尽型 DoS（7.5）
CVE-2026-116591	klauspost/compress 处理特定 zstd 双块帧	进程 panic 型 DoS（8.7）
CVE-2026-115538	Swarm encrypted overlay 在 firewalld 冲刷 iptables 后	可能丢失加密与防伪造，机密性/完整性预期被打破
CVE-2026-115539	持有合法 worker TLS 证书 + 私钥	leader 切换后短窗可获取 manager 证书，单 worker 密钥可升到控制面

前两条是解析不可信输入时的可用性风险；后两条针对生产 Swarm。

二、漏洞状态

统计截止： 2026 年 11 月 5 日（UTC+8）

项目	状态
漏洞细节	已公开（Engine 发行说明；JWK/zstd 另有 NVD/GHSA）
官方补丁	Engine ≥ 29.9.3
镜像标签	Hub 已核实 `docker:29.9.3`、`docker:29.9.3-dind`
CISA KEV	未列入

三、影响范围

116587 / 116591： Engine、DinD，以及会把不可信 JWK/JWT 或 zstd 送进解析路径的 API / 构建流程
115538： 启用 encrypted overlay、且主机跑 firewalld 的 Swarm
115539： worker 证书保管不严、会发生 leader 切换的 Swarm

四、修复建议

宿主机 Engine 升到 ≥ 29.9.3。使用官方 Docker-in-Docker / CLI 镜像的，固定：

bash
docker pull docker.xuanyuan.run/library/docker:29.9.3

bash
docker pull docker.xuanyuan.run/library/docker:29.9.3-dind

Swarm 环境额外：

firewalld 重载后检查 Docker iptables / 加密 overlay 是否仍生效
怀疑 worker 密钥泄露时，轮换 Swarm 证书并审计 manager 列表

Docker Hub： docker

轩辕镜像： library/docker

五、临时缓解措施

在升级之前：不要把不可信 JWT/JWK 或 zstd 载荷送进 Engine / 构建链路；收紧 worker 证书保管；firewalld 变更后立即核对 overlay 加密状态。这不能代替 29.9.3。

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Docker Engine 的版本修复。宿主机 daemon 与容器内 DinD 镜像都要升到含修复的构建。基于更旧 docker: 标签二次构建的，要改基础标签后重新构建。

配置与排错见轩辕镜像使用手册、镜像拉取 FAQ。

七、参考链接

Docker：Engine 29.9.3
GitHub：moby docker-v29.9.3
NVD：CVE-2026-116587 · CVE-2026-116591
Docker Hub：docker
轩辕站内镜像页：library/docker

阅读原文

轩辕镜像官方博客

轩辕镜像安全团队
2026 年 11 月 4 日

评论交流

你可能也想看

免责声明

本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。

文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。

用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。

用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。

本免责声明的最终解释权归轩辕镜像官方所有。