CVE-2026-112917: Docker Desktop, bypass isolamento AF_VSOCK

Il CVE-2026-112917 riguarda Docker Desktop per Windows e interessa il backend WSL2 su architetture x86-64. Un container Linux non privilegiato può sfruttare le chiamate socketcall a 32-bit per aggirare le restrizioni seccomp applicate al socket AF_VSOCK, esponendo così l'accesso a servizi rivolti all'host e a file Windows accessibili all'utente che ha effettuato il login. I backend basati su LinuxKit non sono colpiti da questa vulnerabilità.

Il punteggio CVSS è 9,2 (Critical), il che indica un impatto molto grave, anche se la gravità ufficiale dichiarata è stata etichettata come 'medium' nei dati disponibili — una incongruenza che gli amministratori devono considerare attendendo chiarimenti ufficiali. La vulnerabilità è stata pubblicata su NVD il 2026-11-03 ed è accompagnata da una patch verificata. I segnali su X indicano 3 post nelle ultime 24 ore, riflettendo l'interesse della comunità; tuttavia, alcuni messaggi descrivono erroneamente lo stato della patch.

La correzione completa richiede l'aggiornamento simultaneo a Docker Desktop 4.98.0 (o successivo) e WSL 3.0.3 (o successivo). Se Docker Desktop è stato aggiornato a 4.98.0+ ma WSL rimane meno recente, il sistema rimane vulnerabile. I team IT devono verificare le versioni attuali di entrambi i componenti e coordinare gli aggiornamenti. È inoltre consigliato auditare l'esecuzione di container la cui provenienza non è certa, in particolare in ambienti di sviluppo condiviso.