Linux IPv4 TCP 释放后重用
Docker 将 Linux TCP 内核修复纳入 4.98.0。底层漏洞在 10 月 15 日已公开；本条记录的是 Desktop 修复批次。
Docker Desktop 4.98 修复内核 TCP 漏洞及 WSL 2 通信限制绕过
Docker Desktop 4.98.0 修复 Linux IPv4 TCP 释放后重用漏洞 CVE-2026-98432，以及容器在 WSL 2 后端绕过 AF_VSOCK 限制的 CVE-2026-112917。后者还要求 WSL 3.0.3 或更新版本；只升级 Desktop 不足。公告没有声称在野利用或主机逃逸。
- 披露时间
- 2026年11月3日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 2 个 CVE
- 波及范围
- 使用受影响 VM 网络路径的 Docker Desktop；AF_VSOCK 问题特定于 Windows 的 WSL 2 后端容器
- Docker · WSL · isolation
- 在野利用
- 未知
- 厂商发版说明未报告在野利用。
发生了什么
这是与 10 月 Desktop 修复批次不同的漏洞及发版，不能把旧批次首次修复版本从 4.97.0 改成 4.98.0。L3 依据是主流开发工具的内核及隔离边界问题，而非已确认攻击。
AF_VSOCK 是主机与虚拟机之间的通信机制。厂商仅称容器可绕过限制，未说明完整后果、受影响起始版本、可替代升级的缓解措施或已成功逃逸主机。本次核查该 CVE 的公开 CNA API 返回 404；编号及修复依赖来自已直接核阅的 Docker 原始发版说明。不要把另一事件 CVE-2025-9074 的主机访问后果套用到这里。只更新 Linux 容器镜像或 WSL 内发行版软件包不能证明已完成 Desktop/WSL 修复。
马桶里有什么
CVE-2026-112917WSL 2 AF_VSOCK 限制绕过
WSL 2 后端的容器可绕过通信限制；修复须同时具备 Desktop 4.98.0 和 WSL 3.0.3 或更新版本。公告未给出完整受影响起始版本。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Docker Desktop | 4.98.0 | |
| Windows Subsystem for Linux | 3.0.3 | WSL 2 后端修复的额外要求 |
案发时间线
2026年10月15日
Linux 发布底层 TCP 漏洞记录
2026年11月3日
Docker Desktop 4.98.0 发布两项修复
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Docker Desktop 4.98.0 发版说明一手来源11 月 3 日两项 CVE 修复与 WSL 3.0.3 依赖。
- Linux CNA TCP 漏洞记录一手来源底层漏洞 10 月 15 日公开；解释 IPv4 TCP 选项生命周期竞态，不是新披露的 Linux 漏洞。
- Microsoft WSL 命令文档一手来源说明 wsl --update、wsl --version 及 PowerShell/命令提示符运行环境。