Docker、セキュリティ強化イメージ「Docker Hardened Images」を拡充　パッケージ単位の独自修正やEOL後5年のパッチ提供を発表

要点

• Dockerは2026年8月17日、コンテナのサプライチェーンセキュリティを強化する「Docker Hardened Images」の最新アップデートを発表した。

• 全開発者向けに無償提供されるイメージ群は4,000種を超え、AlpineおよびDebianベースのシステムパッケージをソースから独自にビルド・修正する仕組みが導入された。

• 企業向けには独自のパッケージリポジトリへのアクセスが提供され、自社でビルドするコンテナイメージにも同様の保護を適用可能となった。

• サポート終了（EOL）を迎えたソフトウェアに対しても最大5年間のセキュリティパッチを提供する「Extended Lifecycle Support」を展開し、新たにMinIOを追加した。

• Docker社は2026年8月17日、公式ブログにおいて、コンテナのサプライチェーンセキュリティを強化する取り組み「Docker Hardened Images（DHI）」の機能拡充を発表した。同社はすべての開発者向けに安全なベースラインを無償で提供し、コンテナイメージ内のシステムパッケージをソースから直接ビルド・修正する体制を本格化させている。AIによるコード生成や依存関係の急増を背景に、コンテナの既知の脆弱性（CVE）を根本から減らす環境の整備を進める方針だ。

サプライチェーン攻撃の激化とAIコードの普及

Docker社によると、過去1年でソフトウェアサプライチェーンを狙った攻撃が日常化しており、TrivyやKICSといったセキュリティ診断ツール自体が標的になる事例も発生しているという。同社の最高情報セキュリティ責任者（CISO）であるマーク・レヒナー氏は、こうした一連の動きについて「脅威環境の恒久的な変化」と表現している。

加えて、現在では本番環境で稼働するコードの4分の1以上がAIによって生成されており、自律エージェントが高速に依存関係を取り込む状況が生まれている。自社のエンジニアが直接記述していない膨大なコードやイメージ、依存パッケージが増加し、出荷と同時にプラットフォームチームやセキュリティ担当者の責任となる構造が課題になっていると同社は説明している。

4,000種以上の無償カタログと検証可能な来歴

こうした課題に対し、Docker社は「導入されなければセキュリティは機能しない」という原則のもと、Docker Hardened Images（DHI）のカタログ全体をすべての開発者に無料で提供している。これらのイメージは、多くの開発現場で利用されているAlpine LinuxおよびDebianと互換性があり、既存のDockerfileの基底イメージ指定（FROM行）を変更するだけで導入できる設計となっている。

すべてのイメージはDocker自身がソースコードからビルドしており、ソフトウェア部品表である「SBOM」への電子署名や、サプライチェーンの完全性を示す業界標準フレームワーク「SLSA（Supply-chain Levels for Software Artifacts）」のビルドレベル3に準拠した来歴情報を備えている。これにより、監査担当者はベンダーの主張ではなく客観的な証拠に基づいて安全性を検証できるという。

提供開始から1年が経過した時点で、DHIのカタログは4,000種類を超える強化イメージに加え、MCP（Model Context Protocol）サーバー、Kubernetes向けのHelmチャート、長期サポート向けイメージなどへと拡大した。現在では週間350万回以上のプル（ダウンロード）を記録し、修正を反映するために定期的に100万回以上のビルドが実行されている。オープンソースのワークフロー自動化ツール「n8n」なども本番環境でDHIを採用していることが明かされた。

システムパッケージ単位での独自修正と企業向けリポジトリ

今回のアップデートでは、コンテナイメージ全体だけでなく、内部に含まれるシステムパッケージそのものへの保護を深める「Docker Hardened System Packages」が強化された。AlpineおよびDebianの双方において、上流のソースコードからDocker独自のSLSAレベル3パイプラインを用いてパッケージをビルドし、パッチを適用して保守する体制を構築したとしている。

現在、カタログ内で最も利用頻度の高いPythonイメージなどを皮切りに対象が広がっており、DebianおよびAlpine向けのパッケージ一覧はWeb上で公開されている。ディストリビューション公式のリリースを数カ月あるいは数年待つことなく、パッケージ単位で迅速に修正を適用し、そのパッケージを利用するすべてのイメージに対して一度のビルドで反映できる点が特徴だという。

さらに、DHIのエンタープライズプランの顧客向けには、Dockerが管理するセキュアなパッケージリポジトリへの直接アクセスが開放された。パッケージ管理ツールのaptやapkの参照先をDockerのリポジトリに向けることで、自社で独自にビルドするイメージに対しても同様の強化パッケージを組み込める。自社の運用に合わせてパッケージを追加した場合でも、検証済みのリポジトリから供給されるため、ベースイメージと同等のサービス品質保証（SLA）や単一ベンダーによる署名付きの来歴証明が維持されると説明している。

サポート終了ソフトウェアの延命と運用のコード化

本番環境のソフトウェアでは、移行予算やテストサイクルの都合により、開発元のサポートが終了した後も稼働を継続せざるを得ないケースが存在する。これに対応するため、Docker社は「DHI Extended Lifecycle Support（ELS）」を提供している。このサービスでは、サポート終了（EOL）を迎えたソフトウェアに対しても、最大5年間にわたりセキュリティパッチの適用やSBOM、来歴情報の提供を継続する。

ELSの対象は固定されておらず、利用者の要望に応じて追加される仕組みとなっている。直近では、2026年2月に上流の開発元によってアーカイブされた分散オブジェクトストレージ「MinIO」がカタログに追加され、開発元のサポート終了後も修正済みのイメージが提供されているという。

また、本番環境で必須となるCA証明書や監視エージェントの追加といったカスタマイズ要件に対しては、構成内容をコードとして定義することで、Docker側がカスタマイズ済みイメージのライフサイクル全体を管理し、自動的に再ビルドを実行するアプローチをとっていると紹介している。