Docker Inc a publié le 8 juillet 2026 un avis de sécurité concernant Docker Desktop 27.x sur Windows et macOS. La vulnérabilité, classée critique (CVSS 8.8), permettait à un attaquant disposant d'un accès local limité sur la machine de l'utilisateur d'élever ses privilèges au niveau du daemon Docker, qui tourne en root/SYSTEM. Le patch est disponible dans Docker Desktop 27.5.1.
Comment la vulnérabilité fonctionnait
Docker Desktop utilise un daemon qui tourne avec des privilèges élevés pour gérer les containers, les réseaux virtuels et les volumes. Sur Windows, le daemon tourne en tant que service SYSTEM. Sur macOS, il tourne en tant que root via le LinuxKit VM.
La faille se trouvait dans la façon dont le daemon valide les connexions depuis le socket Unix (ou le named pipe Windows). Dans certaines conditions impliquant des symlinks et des manipulations de répertoires temporaires, il était possible d'amener le daemon à lire ou écrire des fichiers en dehors du contexte container, avec ses propres privilèges élevés. Un attaquant avec un compte limité sur la même machine pouvait ainsi écrire dans des répertoires système ou lire des fichiers sensibles.
Qui est concerné
Toutes les installations Docker Desktop 27.0.x à 27.5.0 sur Windows 10/11 et macOS sont affectées. Linux n'est pas concerné (le daemon Docker tourne différemment dans ce contexte). Docker Engine standalone sur Linux, sans Docker Desktop, n'est pas affecté par cette vulnérabilité spécifique.
L'exploitation requiert un accès local à la machine. Le risque est donc plus élevé sur des postes partagés, des machines de développement dans des entreprises avec plusieurs utilisateurs, ou des environnements où des applications tierces peuvent exécuter du code local.
La correction
Mettez à jour Docker Desktop vers la version 27.5.1 ou ultérieure. La mise à jour est disponible directement depuis Docker Desktop (menu Preferences ou About Docker Desktop) ou en téléchargement manuel depuis le site officiel.
# Vérifier la version actuelle
docker version --format '{{.Server.Version}}'
# La version safe est 27.5.1 ou plus récenteEn attendant la mise à jour, si vous ne pouvez pas patcher immédiatement : limiter l'accès au socket Docker aux seuls utilisateurs qui en ont réellement besoin, et éviter de faire tourner Docker Desktop sur des machines avec plusieurs comptes utilisateurs actifs.
- Docker Security Advisories — Docker, juillet 2026
- Docker Desktop release notes — Docker, 2026
