Dockerは2026年10月26日、Docker Desktop 4.97.0で2件の脆弱性を修正したとセキュリティ告知に書いた。開発機に直結するのはCVE-2026-114409だ。4.97.0未満では、IPCペイロードの伏せ字が不十分で、第三者のAPIキーとOAuthアクセストークンがローカルのアプリログと診断バンドルへ平文で書かれることがあった。ログを読める攻撃者はその資格情報を得られる。Dockerは、これらのOAuthトークンがDockerアカウントのトークンではないと説明している。
4.94.0と4.95.0は既知のログ経路を直したが、資格情報を含むログは更新後も残り得る。4.97.0は新規の書き込みを止め、ホスト上の既存ログとクラッシュダンプの掃除も含む。4.96.x以前で作った診断バンドルを生成・共有したか、ログのコピーを別の場所に残している場合は、削除するか中身を消す。掃除の対象外にコピーが残っていれば、そこに載った第三者サービスの鍵はローテーションする。
同じ4.97.0はCVE-2026-99999も修正した。コンテナが、TUNまたはAF_PACKET経由の壊れたIPv4チェックサムメタデータを使い、VMのネットワークスタックを破壊できるカーネルの欠陥だ。告知はこれ以上の条件を書いていない。
Desktopを日常的に使うなら4.97.0以降へ上げ、共有済みの診断バンドルの所在を先に洗う。ホストログの自動掃除だけで、手元に保存したコピーや送付済みのバンドルまでは消えない。