Docker-Schwachstelle: Anonyme Dateimanipulation möglich — so prüfen Sie Ihre Umgebung jetzt

Das CERT-Bund hat unter der Kennung WID-SEC-2026-2602 eine Schwachstelle in Docker gemeldet, die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, Dateien zu manipulieren. Das klingt nach einem Routineeintrag in einer langen Advisory-Liste. Ist es aber nicht: Dass kein Login erforderlich ist, macht diese Lücke zu einem anderen Risikofall als eine, bei der sich der Angreifer erst ausweisen muss.

Docker Engine — das quelloffene Container-Runtime (Apache-2.0-Lizenz), das in Produktionsumgebungen, CI/CD-Pipelines und auf Entwicklungsrechnern weltweit läuft — ist von der Schwachstelle betroffen. Wer Docker Desktop einsetzt: Das Desktop-Produkt ist für Unternehmen ab einer bestimmten Größe seit 2022 kostenpflichtig; Docker Engine selbst bleibt Open Source.

Was ist passiert?

Das CERT-Bund-Advisory WID-SEC-2026-2602 beschreibt eine Schwachstelle, über die ein Angreifer ohne vorherige Authentifizierung aus der Ferne Dateien in Docker manipulieren kann. Welche Versionen konkret betroffen sind und ob Patches bereits verfügbar sind, steht im Advisory selbst — die Versionslage ändert sich mit jedem Release, weshalb die Primärquelle hier verlässlicher ist als eine statische Sekundärmeldung.

Was ist belegt?

Belegt ist: Die Schwachstelle existiert, sie ist aus der Ferne ausnutzbar, und sie erfordert keine Anmeldedaten. Der Angriffsvektor ermöglicht Dateimanipulation. Ob sich daraus direkt Code ausführen lässt, geht aus der Beschreibung des Advisorys in der vorliegenden Fassung nicht hervor — das ist eine relevante offene Frage für die Bewertung des Schadenspotenzials.

Was ist derzeit unklar?

Unklar ist der genaue technische Kontext: ob der Docker-Daemon beispielsweise über einen Netzwerksocket erreichbar sein muss, oder ob andere Vektoren — manipulierte Images, API-Angriffe — ebenfalls in Frage kommen. Technische Details werden bei CERT-Bund erfahrungsgemäß in aktualisierten Advisorys ergänzt. Den WID-Eintrag regelmäßig beobachten.

Welche praktischen Auswirkungen ergeben sich?

Dateimanipulation in Container-Infrastrukturen ist keine Bagatelle. Wer in einer laufenden Docker-Umgebung Dateien schreiben oder überschreiben kann, kann — je nach Deployment — Konfigurationsdateien verändern, Start-Skripte ersetzen oder Daten in gemounteten Volumes manipulieren, auf die andere Systeme zugreifen. Die Grenze zwischen „Datei schreiben“ und „Kontrolle über Container oder Host übernehmen“ ist in Container-Infrastrukturen oft schmaler, als sie auf dem Papier wirkt.

CERT-Bund stuft die Schwachstelle als „mittel“ ein. Das bedeutet nicht, dass sie warten kann. Ein anonymer Remote-Zugriff ohne Authentifizierung senkt die Hürde für Angreifer erheblich — auch wenn das konkrete Schadenspotenzial vom jeweiligen Deployment abhängt. In unserer Erfahrung im Betrieb von Container-Infrastrukturen werden Schwachstellen mit anonym-Remote-Angriffsverhalt auch bei mittlerem Schweregrad regelmäßig unterschätzt.

Was Sie jetzt prüfen sollten

Erstens: Advisory WID-SEC-2026-2602 direkt lesen. Dort stehen betroffene Versionen und verfügbare Maßnahmen — nicht auf Sekundärberichte verlassen.

Zweitens: `docker version` auf jedem Host ausführen. Welche Version läuft? Wenn ein gepatchtes Release verfügbar ist, Update zeitnah einplanen. In vielen Umgebungen ist das ein schneller Schritt; in Produktionssystemen mit komplexen Abhängigkeiten kann mehr Vorbereitung erforderlich sein.

Drittens: Prüfen, ob der Docker-Daemon über einen TCP-Socket erreichbar ist. Ein Blick in `/etc/docker/daemon.json` zeigt, ob ein `hosts`-Eintrag mit `tcp://` konfiguriert ist. Wenn das nicht erforderlich ist, auf den Unix-Socket beschränken — das reduziert die Angriffsfläche unabhängig von dieser spezifischen Schwachstelle.

Kurz gesagt: lesen, Version prüfen, patchen.

Quellen: CERT-Bund — „docker: Schwachstelle ermöglicht Manipulation von Dateien“ (WID-SEC-2026-2602) — https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2602