セキュアコンテナイメージのMinimusが事業終了へ、Dockerが無償移行支援を発表

要点

• セキュアコンテナイメージを提供するMinimusが事業終了を発表し、2026年10月22日にレジストリが停止することが明らかになった。

• レジストリ停止後も既存イメージの稼働は可能だが、新規に発見された脆弱性（CVE）に対する修正パッチは一切配信されなくなる。

• Dockerは影響を受けるユーザーに対し、自社の「Docker Hardened Images（DHI）」への無償移行サポートを開始した。

• 移行先のDocker Hardened ImagesはApache 2.0ライセンスで提供され、4,000以上のイメージ展開や最大95%の脆弱性削減を特徴としている。

• 米Dockerは2026年8月25日、セキュアなコンテナイメージを手がける米Minimusの事業終了を受け、同社サービスの利用者向けに無償の移行支援を提供すると公式ブログで発表した。Minimusが運用するイメージレジストリ（コンテナイメージの保管・配信サーバー）は2026年10月22日をもってオフラインになる予定だという。Dockerは、本番環境でMinimusを利用している開発者に対し、自社が提供するセキュアイメージ群「Docker Hardened Images（DHI）」への早期移行を呼びかけている。

10月22日にレジストリ停止、新規脆弱性のパッチ提供が終了

Minimusが公表した通知によると、同社は事業終了に伴い60日間のメンテナンス期間を設けており、2026年10月22日までアップストリーム（開発元の上流ソフトウェア）からの更新がイメージに適用される。

期日を過ぎた後も、すでにシステムへダウンロード（プル）されているイメージ自体はそのまま稼働し続ける。しかし、それ以降は一切のアップデートが配信されなくなるため、新たに発見されたCVE（既知のソフトウェア脆弱性に付与される共通識別子）に対する修正パッチも未適用の状態が続くことになる。

Dockerは、本番環境でMinimusのイメージを運用しているユーザーが想定外の移行作業に直面していると指摘している。同社は、競合関係にありながらもソフトウェアサプライチェーンの脆弱性削減という課題に取り組んできたMinimusの功績を称え、事業終了によって影響を受けた従業員への気遣いを示している。

営業対応なしで技術支援、FROM行の変更のみで移行可能

予期せぬ移行を迫られるユーザーに向け、Dockerは専用の無償支援窓口（minimus@docker.com）を開設した。営業担当者との商談（セールスコール）を挟むことなく、技術的な移行エキスパートが直接対応し、個別のイメージ一覧の確認やコンプライアンス要件、移行計画に関する質問を受け付ける体制を整えたという。

Dockerによると、MinimusからDHIへの移行はシステムをゼロから再構築するような大がかりなものではなく、Dockerfile（コンテナの構成手順を記述した設定ファイル）内のベースイメージを指定する「FROM」行を書き換える（スワップする）だけで大部分のサービスに対応できるとしている。

開発者がスムーズに作業を進められるよう、段階的な移行手順を解説した「移行ガイド」や、イメージの切り替えと検証状況を追跡する「チェックリスト」、一連の流れを示した「具体例（worked examples）」が公開されている。さらに、Dockerが提供するAIアシスタント「Gordon」を活用した初期移行の実施も可能とされている。

4,000種以上を展開する「Docker Hardened Images」の仕様

移行先として案内されている「Docker Hardened Images（DHI）」は、ソースコードからビルドされ、Docker社によって継続的な保守が行われている最小構成のセキュアコンテナイメージ（不要なパッケージを削ぎ落とし安全性を高めたイメージ）である。

無料のオープンソースカタログはApache 2.0ライセンスの下で公開されており、ユーザー数の上限なく本番環境での利用が認められている。カタログには4,000種類以上のイメージが揃っており、LinuxディストリビューションのAlpineおよびDebianとの互換性を確保しているため、既存のDockerfileやCI（コードのビルドやテストを自動化する仕組み）パイプラインを変更せずにそのまま継続利用できるという。

セキュリティ面では、脆弱性がほぼゼロ（near-zero CVEs）の状態で出荷され、検知された脆弱性を隠蔽することのない完全な可視性（unsuppressed CVE visibility）が保証される。Dockerによると、標準的な公開イメージから移行した場合、CVEを最大95%削減し、アタックサーフェス（攻撃対象領域）を最大90%削減できるとしている。

サプライチェーンの安全性を担保するため、すべてのイメージには完全なSBOM（ソフトウェアに含まれる構成要素を一覧化した部品表）や、改ざん防止基準「SLSA（Supply-chain Levels for Software Artifacts）」のBuild Level 3に準拠した来歴情報（provenance）、暗号署名が付与されている。

なお、有償プランも用意されており、SLA（サービス品質保証）に基づく脆弱性の迅速な修正対応をはじめ、米国のセキュリティ基準であるFIPSやSTIGに対応したバリアント、個別カスタマイズ、さらには公式サポートが終了したEOL（End of Life）バージョンに対する最大5年間のサポート提供などが含まれている。

メンテナンス期間内の移行着手を推奨

Dockerは、Minimusのメンテナンス期間によってイメージにパッチが適用されている今のうちに、移行作業を開始するよう推奨している。移行先がDockerであるか他社であるかにかかわらず、セキュリティが維持されている期間内に着手することが重要だと説明しており、DHIのカタログはDocker Hub上で閲覧可能となっている。