macOS版「Docker Sandboxes」に重大な脆弱性、ホスト上のファイル改ざんやコード実行のおそれ

要点

• Dockerは、macOS版「Docker Sandboxes」において仮想マシン内からホスト側のファイルを読み書きできる重大な脆弱性を公表した。

• 脆弱性「CVE-2026-77179」は深刻度「Critical」と評価されており、ホスト権限での任意コード実行につながる可能性がある。

• 同時に、Unixドメインソケットの中継処理に関する高深刻度の脆弱性「CVE-2026-79994」も修正された。

• 影響を受けるバージョンは0.28.0から0.41.9で、Dockerはバージョン0.42.0以降へのアップデートを呼びかけている。

• 米Dockerは2026年9月15日、macOS版の「Docker Sandboxes」において、仮想マシン内のコードが隔離環境を脱出し、ホストであるmacOS上のファイルを読み取り・改ざんできる重大な脆弱性（CVE-2026-77179）が存在することをセキュリティアドバイザリで明らかにした。本脆弱性は2026年9月7日に公開されたバージョン0.42.0ですでに修正されている。現時点で悪用は報告されていないという。

仮想マシンの隔離境界を越える「CVE-2026-77179」

Docker Sandboxesは、AIコーディングエージェント（プログラムの生成や修正を自律的に行うAIツール）を独立した軽量な仮想マシン内で稼働させ、共有されたプロジェクトディレクトリ（ワークスペース）内で作業させるための機能である。エージェントは仮想マシン内部で管理者権限（sudo）によるパッケージ導入やコマンド実行を行うため、Dockerではハイパーバイザー（仮想環境を制御する基盤ソフトウェア）の境界をホスト保護の要として位置づけている。

今回発表されたCVE-2026-77179は、CVSSスコア9.4の「Critical（緊急）」と評価されている。悪意を持って改変されたエージェントや、エージェントが導入・実行した不正なコードがサンドボックス内で動作した場合、共有ディレクトリの制限を越えてホスト上のあらゆるファイルにアクセスできる危険性があった。この脱出処理は仮想マシンモニター（VMM）を実行しているホスト側アカウントの権限で動作するため、ホスト上での任意のコード実行につながるおそれがあるという。

ファイル共有サーバーにおけるシンボリックリンク処理の不備

Dockerの説明によると、この問題はmacOSと仮想マシン間のファイル共有を担う「virtio-fs」ホストサーバーの挙動に起因している。virtio-fsサーバーが、一度削除されたファイルを保存済みのパスから再度開く際、シンボリックリンク（別のファイルやディレクトリを参照する特殊リンク）を辿ってしまう仕様となっていた。

仮想マシン内のゲスト環境から親ディレクトリをシンボリックリンクに置き換えることで、本来アクセスが制限されているはずのホスト側ファイルシステムへアクセスが可能になっていたという。なお、Dockerのドキュメントには2026年3月以降、ワークスペース外を指すシンボリックリンクは辿らないと記載されていたが、特定の再オープン処理においてこの制限が機能していなかった形となる。

ソケット中継機能に関する脆弱性「CVE-2026-79994」も同時修正

あわせて修正されたCVE-2026-79994は、DockerによってCVSSスコア8.7の「High（高深刻度）」と評価されている。この問題は、サンドボックスからワークスペース内のUnixドメインソケット（プロセス間通信に用いられる接続点）へ接続する中継機能（リレー）に存在する。

リレー機能がソケットのパスがワークスペース内にあるか検証した後、パス名を用いて再接続を行うまでの間に、ゲスト側がパス上のディレクトリをシンボリックリンクに差し替える攻撃が可能だった。これにより、ホスト側をワークスペース外の任意のAF_UNIXソケットに接続させ、当該ソケットが提供するデータやホスト側の機能を露出させてしまうおそれがあったという。

影響範囲とアップデートまでの回避策

影響を受けるバージョンは、CVE-2026-77179がmacOS版の0.28.0以上0.42.0未満、CVE-2026-79994が0.37.0以上0.42.0未満（プラットフォームの限定表記なし）となっている。

Dockerは両脆弱性の対策として、バージョン0.42.0以降への更新を推奨している。2026年9月15日には最新版となる0.43.0もリリースされている。

直ちに更新できない環境に向けて、Dockerは「クローンモード（clone mode）」の利用と、読み書き可能なホストマウントの追加を避ける回避策を提示している。通常の起動（sbx run）ではカレントディレクトリが読み書き権限で共有されるが、Gitリポジトリに対して --clone オプションを指定して作成するクローンモードでは、リポジトリが /run/sandbox/source に読み取り専用でマウントされる。これによりファイルの変更は防げるものの、.env などの追跡外ファイルを含む読み取り自体はサンドボックス内から依然として可能であるため注意が必要だ。

なお、米サイバーセキュリティ・インフラセキュリティ庁（CISA）のCVEレコードでも悪用事例は「なし（none）」と記載されており、9月16日時点の「悪用が確認された脆弱性カタログ（KEV）」にも登録されていない。Dockerがアドバイザリを公開したのは0.42.0のリリースから8日後の9月15日であり、GitHub等の0.42.0リリースノートには9月17日時点で両CVE名は明記されていない。