Docker Engine 29.8.2 之前用 DNS 任意匹配判断仓库是否属于 insecure registry,并默认把环回网段视为 insecure。恶意 DNS 若同时返回环回地址和攻击者地址,连接可能跳过证书校验并回落到 HTTP(CVE-2026-92543,CVSS 7.6)。请把宿主机引擎升级到 29.8.2 或更高。
启用 Bearer 鉴权的 zot OCI 仓库在鉴权路径中把 DELETE 等非 GET/HEAD 方法一律映射为 push,且 Bearer 请求绕过细粒度鉴权;仅持有 pull,push、不含 delete 的 token 即可删除仓库范围内的 manifest 与 blob(CVE-2026-61833,CVSS 约 8.1 High)。请将 zot 升至 ≥ 2.1.18。
Renovate 列镜像 tag/digest 时跟随 registry Link 分页可导致凭据被恶意或被控仓库窃取(CVE-2026-88887);binarySource=docker 下 gomod / gradle-wrapper 路径存在命令注入(CVE-2026-88885 / 88886)。请将 renovate/renovate 升至含修复的版本,并自查 CI 配置。
小团队自建代码托管,常见拆法是 Gitea / GitLab 管仓库,再另起 Jenkins、Drone 或一套 Runner 跑构建。Webhook、权限和备份各管各的,出问题要在两套后台之间对账。源码和制品若不能出内网,公有云托管按席位计费,完整企业 DevOps 套件又往往过重。更常见的目标是:**一台机器上同时有 Git、流水线和制品入口**,浏览器能管,数据落在自己的磁盘。
机房又加了两排机柜、业务要划新 VLAN、运营商刚下发一段公网地址——这些变更往往散落在 Excel 表格、Wiki 页面、工单附件,甚至运维群聊天记录里。表格一人一改、版本对不上;Wiki 写了「已分配」实际 ping 不通;排障时才发现同网段被两个人各划过一次。网络与机房资产没有「单一事实来源」时,对账和变更都会变成猜。
零基础教程:雷池 SafeLine 社区版 9.3.10 中文版 Docker Compose 部署,轩辕镜像加速拉取 7 组件、.env 配置、resetadmin 登录与个人版付费功能说明。与 SamWaf 对比,Ubuntu 24.04 实测含 12 张截图。