Docker Desktop WSL 2 隔離繞過：須同時更新 Desktop 及 WSL

情報摘要

Docker 於 11 月 3 日發布 Desktop 4.98.0，修補 CVE-2026-112917。此問題影響 Windows x86-64 主機的 WSL 2 後端，可讓非特權 Linux 容器繞過 AF_VSOCK 限制。完整修補須同時使用 Docker Desktop 4.98.0 或更新版本，以及 WSL 3.0.3 或更新版本；只更新 Desktop 並不足夠。

Docker CNA 說明，容器可經相容性系統呼叫途徑繞過預設 seccomp 對 AF_VSOCK 的限制，接觸面向主機的服務。Windows 檔案存取仍須有可達的主機端 AF_VSOCK 服務，影響範圍是登入使用者可存取的檔案；公告沒有把此情境描述成所有主機檔案或系統管理員權限均必然失守。

CNA 指明修補須配合 WSL 3.0.3 所含的 6.18.54.1 核心或後續版本。Microsoft 的 WSL 3.0.3 發行記錄亦列出該核心更新；不能只按 Docker Desktop 的版本欄判定已安全。

同一 Desktop 4.98.0 發行說明另列 Linux 核心 IPv4 TCP 釋放後使用漏洞 CVE-2026-98432 的修補。這是本網既有 Linux 核心 TCP 報道的產品修補補充，不是另一宗新漏洞或已確認攻擊。

Docker 發行說明標示日期為 2026 年 11 月 3 日；CNA 記錄於當日 19:08 UTC 發布，即香港時間 11 月 4 日 03:08。本文的香港編輯發布日期與來源日期分開記錄。

受影響產品

Windows x86-64 上使用 WSL 2 後端的 Docker Desktop；4.98.0 之前版本受影響，4.98.0 或更新版本若配合舊於 3.0.3 的 WSL 仍受影響。LinuxKit 後端不受此漏洞影響。

適用讀者

使用 Windows Docker Desktop WSL 2 後端的開發者，以及管理開發工作站和容器環境的 IT／資安團隊

建議行動

按 Docker 官方建議，把 Docker Desktop 更新至 4.98.0 或更新版本，並把 WSL 更新至 3.0.3 或更新版本，逐項核對兩者版本。編輯建議：在完成更新前，限制不可信容器的執行並檢查現用後端；這只能降低暴露面，不能取代兩項更新。

風險評級依據

採用 Docker CNA 對 CVE-2026-112917 的 CVSS v4.0 9.2（Critical）評分。評分向量標示本機攻擊途徑及低權限前提，不代表互聯網上毋須先取得容器執行能力便能直接利用。

解讀限制

已核對來源不足以確認 CVE-2026-112917 是否正遭野外利用；沒有相關聲明不等於證明沒有攻擊。

未核實香港特定機構、工作站或用戶受影響。CNA 未交代最早受影響的 Desktop 起始版本，本文不另行推定。

LinuxKit 不受影響的結論只適用於 CVE-2026-112917，不代表這些後端不受其他漏洞影響。

資料來源

• Docker：Desktop 4.98.0 發行說明 ↗來源刊登：2026-11-03
• CVE Program：Docker CNA 的 CVE-2026-112917 原始記錄 ↗來源刊登：2026-11-03
• Microsoft：WSL 3.0.3 發行記錄 ↗來源刊登：2026-10-09