Docker Sandboxes'ta 9,4 Puanlı Açık: Kod Mac'e Kaçabildi

Docker, 15 Eylül 2026'da Docker Sandboxes'ta kritik bir açığı duyurdu. Araç, her yapay zekâ kodlama ajanını geliştiricinin bilgisayarında kendi küçük sanal makinesinde çalıştırıyor ve içeriye yalnızca proje dizinini paylaştırıyor. macOS'ta bu kum havuzunun içinde çalışan kod, paylaşılan çalışma alanından kaçıp ana makinedeki herhangi bir dosyayı okuyabiliyor ya da değiştirebiliyordu. Kaydı açan Docker, CVE-2026-77179'u 10 üzerinden 9,4 ile kritik olarak derecelendirdi.

Ulusal Zafiyet Veritabanı kaydındaki üretici açıklamasına göre sorun, Mac ile sanal makine arasındaki dosya paylaşımının ana makine tarafı olan virtio-fs sunucusunda: kayıtlı bir yoldan, bağlantısı kaldırılmış bir dosyayı yeniden açarken sembolik bağları hatalı biçimde izliyor. Kötü niyetli bir misafir, üst dizini bir sembolik bağla değiştirerek çalışma alanından çıkabiliyor ve VMM kullanıcısının yetkileriyle ana makinedeki rastgele dosyaları okuyup değiştirebiliyor; açıklamanın deyişiyle "ana makinede kod çalıştırmaya varabilecek" bir durum. Aynı sürüm, Docker'ın 8,7 ile yüksek olarak derecelendirdiği ikinci bir sembolik bağ yarışını, CVE-2026-79994'ü de kapattı: kum havuzunun kendi çalışma alanındaki Unix soketlerine erişmesini sağlayan aktarıcıda, misafir yol denetimi ile bağlantı arasında bir dizini sembolik bağla değiştirip dışarıdaki soketlere ulaşabiliyordu.

Yama önce, kayıtlar sonra geldi. Docker'ın GitHub'daki sürüm sayfasına göre 0.42.0 sürümü 7 Eylül 2026'da yayımlandı; CVE kayıtları sekiz gün sonra, 15 Eylül'de çıktı. The Hacker News bunu 17 Eylül tarihli yazısında aktardı. Söz konusu sürüm notları artık iki CVE numarasını da güvenlik başlığı altında listeliyor. Kritik açık macOS'ta 0.28.0 ile 0.42.0 arasındaki sürümleri (0.42.0 hariç), ikincisi ise 0.37.0 ile 0.42.0 arasını etkiliyor.

Bunun önemi ürünün varlık nedeninde. Docker Sandboxes tam olarak, sanal makinenin içinde paket kuran ve sudo ile komut çalıştıran bir yapay zekâ ajanının ana makineye dokunamaması için var; Docker'ın kendi yalıtım belgeleri de hipervizör sınırının "yalıtım denetiminin kendisi olduğunu, sanal makine içi yetki ayrımının değil" söylüyor. Dosya paylaşım katmanındaki bir delik bu güvenceyi ortadan kaldırıyor. Saldırı, kum havuzunda çalışan bir kodun önceden var olmasını gerektiriyor ve NVD kaydındaki önem vektörü bunu yerel bir saldırı olarak sınıflıyor; ama ürünün satıldığı senaryo zaten tam olarak bu: kullanıcısına karşı çevrilmiş bir ajan ya da o ajanın kurup çalıştırdığı kötü niyetli herhangi bir şey.

Docker herhangi bir istismar bildirmedi. CISA'nın CVE kaydına eklediği değerlendirme istismarı "yok" olarak gösteriyor ve açık, 16 Eylül'de yayımlanan katalog sürümü itibarıyla CISA'nın İstismar Edildiği Bilinen Zafiyetler listesinde yer almıyordu. Docker, kritik açığı bulan olarak accomplish.ai'den Oren Yomtov'u, ikincisini bulan olarak ThreatNotify'dan Jurre van Bergen'i gösteriyor. Çözüm 0.42.0 ya da üstüne geçmek. Hemen güncelleyemeyenler için Docker'ın her iki açıkta da önerisi klon kipini kullanmak ve ana makineye okuma-yazma bağlama noktaları eklememek. Bilinmesi gereken sınırları var: klon kipi yalnızca Git projelerinde çalışıyor, kum havuzu oluşturulurken ayarlanması gerekiyor ve depoyu okunmaya karşı değil değişikliğe karşı koruyor; .env gibi takip edilmeyen dosyalar kum havuzunun içinden okunabilir kalıyor.