【漏洞预警】runwasi 把镜像层里的 Wasmtime 预编译产物当成可信缓存（CVE-2026-47218）

containerd-shim-wasmtime-v1（runwasi 0.6.0 及更早）在预编译缓存路径上可能接受 OCI 镜像层直接提供的 Wasmtime 预编译字节，并反序列化为本地代码（CVE-2026-47218，CVSS 4.0 为 9.3）。攻击者诱使节点运行恶意镜像后，可在 shim zygote 进程内执行原生代码，范围停在该工作负载容器边界。请把 shim 升到 0.6.1 或更高。