Wasmtime 在 component-model-async 回调的返回类型上缺少校验,访客可以向进程的原生栈写入约 16KB,造成崩溃或逃出沙箱执行代码(CVE-2026-115384,NVD 9.9,GHSA CVSS 4.0 为 9.3)。另一条高危允许访客经尾部斜杠的符号链接逃出文件系统沙箱(CVE-2026-115392,7.9)。请按分支升到 48.0.4 / 49.0.2,以及 24.0.13 / 36.0.14 / 46.0.3 / 47.0.4。没有官方 Hub 镜像。
Incus 有两条严重漏洞。备份清单里的卷名和迁移数据流里的符号链接,都能让有权限的客户端在宿主机上以 root 写任意路径(CVE-2026-115375、CVE-2026-115377,CVSS 9.9)。同批还有四条高危。6.0 LTS 升到 6.0.7 或更高,7.0 LTS 升到 7.0.2 或更高,7.1 及以上升到 7.5.0 或更高。官方没有 Docker Hub 镜像。
Oracle Java SE、GraalVM for JDK 和 GraalVM Enterprise Edition 的 JSSE 组件存在严重漏洞。网络可达、无需登录,成功后可以创建、删除、修改或读取关键数据(CVE-2026-91403,CVSS 3.1 为 9.1)。公告点名了 8u511、11.0.33、17.0.21、21.0.13 等构建。请安装 Oracle Security Alert 补丁后重建镜像。Docker Hub 上的 OpenJDK 与 Temurin 不是这份 Oracle 补丁的证明。
Traefik 路由里的否定 Host 仍会被当成该主机的服务方。它和另一条要求客户端证书的路由冲突时,Traefik 会退回不校验证书的默认 TLS 选项,mTLS 失效(CVE-2026-114656,NVD CVSS 3.1 为 7.5,CVSS 4.0 为 6.9)。v2 请升到 v2.11.60,v3 请升到 v3.7.16。这条的修复起点是 v2.11.58 和 v3.7.13。
Node.js 于 2026 年 10 月 21 日发布安全更新。捆绑的 Brotli 解码器存在越界写,处理攻击者可控的压缩数据时,可能导致内存泄露或在进程内执行代码(CVE-2026-111497,High)。同批还有 DNS 名称被 NUL 截断,以及 TLS 主机名校验被绕过。请把 22 / 24 / 26 升到 22.23.4、24.22.1、26.12.1,重建镜像并重启进程。20.x 已停更,没有补丁。
Docker Hub 上的 minio/minio 与 minio/mc 仓库已经不存在。MinIO 在 2025 年 10 月把社区版改为只发源码,2026 年 4 月 25 日归档 GitHub 仓库;2026 年 9 月中旬下游项目记录到 Hub 整库消失。把短名改成仍指向这两个仓库的专属域名,拉取一样会失败。