Docker Hub 重大漏洞 CVE-2026-105445：帳號轉組織時把個人存取權杖轉給他人、密鑰不換，可代對方推送或刪除映像檔；存在兩年多，Docker 說查了約 30.4 萬次推送沒發現被利用

趨勢新聞2026 年 10 月 18 日

Docker 10 月 12 日發布 Docker Hub 安全公告，揭露一個存在兩年多的重大漏洞：從 2024 年 8 月 26 日起，把個人帳號轉成組織時，系統會把該帳號的個人存取權杖（PAT）改掛到被指定的新擁有者名下，卻不更換也不撤銷權杖密鑰。攻擊者因此可以先開帳號、建權杖，再把帳號轉成組織並指定目標使用者當擁有者，之後用手上的權杖以對方身分在 Docker Hub 推送、拉取、刪除映像檔。漏洞編號 CVE-2026-105445，CVSS 4.0 分數 9.4；Docker 說檢查約 30.4 萬次推送後沒有發現被利用。

依公告的時間表（美東時間），Docker 9 月 30 日上午 11 時 40 分收到通報，下午約 3 時 10 分把修正部署上線，不到四小時；10 月 2 日寄信通知受影響的使用者與組織擁有者，10 月 8 日強制停用所有被轉移過的權杖，事先要求保留的除外。CVE 紀錄把受影響期間標為 2024 年 8 月 26 日 20 時 33 分到 2026 年 9 月 30 日 19 時 10 分（世界協調時間），並標記漏洞只存在於 Docker 託管的服務。

公告寫，被指定的擁有者事前不會被要求同意，也不會收到通知。權杖能做的事以它的權限範圍為限，包括目標使用者能存取的組織儲存庫；這個漏洞拿不到 Docker Hub 網頁介面，也不能改密碼、電子郵件或雙重驗證設定。發現者是 mptrdev.com 的 Peter Molnar 與 Krisztian Hozak，他們把漏洞取名 GhostPat。

Docker 怎麼查、之後怎麼改

Docker 列出 2024 年 8 月 26 日以來所有帳號轉換，與 registry 驗證紀錄、權杖紀錄交叉比對，找出被不只一個身分使用過的權杖，檢查了約 30.4 萬次用轉移權杖完成的推送；每一次都推進轉換後的組織或新擁有者自己的儲存庫，沒有推進無關的帳號。風險最高的公開映像檔也做了靜態分析，沒有發現惡意程式、挖礦程式或竄改。公告也承認紀錄只看得到權杖有沒有被用，所以期間內轉移過的權杖一律當成可能受影響。公告沒有公開受影響的帳號、組織或權杖數量。

Docker 已把轉換流程裡的權杖轉移整個拿掉，之後指定組織擁有者要先取得當事人同意並通知，權杖擁有者變更會留下可稽核的歷史。沒收到 10 月 2 日通知信的使用者不受影響、不必處理；Docker 建議所有人到帳號設定檢查個人存取權杖，撤銷不認得或不再使用的，組織的自動化流程改用組織存取權杖。