Docker는 Docker Hub의 취약점(CVE-2026-105445)으로 공격자가 다른 사용자의 개인 액세스 토큰(PAT)을 이용해 컨테이너 저장소에 접근할 수 있었다고 밝혔다. 토큰 권한에 따라 대상 사용자가 접근할 수 있는 저장소와 조직의 이미지를 내려받거나, 올리거나, 삭제할 수 있었다.

문제는 개인 계정을 조직으로 전환할 때 발생했다. 공격자는 계정을 만든 뒤 PAT를 발급하고, 계정을 조직으로 바꾸면서 표적 사용자를 조직 소유자로 지정할 수 있었다. Docker Hub는 이 과정에서 PAT의 비밀 값을 바꾸거나 표적 사용자의 동의를 받지 않은 채 토큰을 새 소유자에게 넘겼다. 이에 따라 공격자는 토큰으로 표적 사용자처럼 인증할 수 있었다.

Docker는 정식 이름으로 이미지를 배포할 수도 있어 소프트웨어 공급망 위험으로 보고 취약점을 심각(critical) 등급으로 평가했다고 설명했다. 다만 이 취약점으로 Docker Hub 웹에 접근하거나 비밀번호, 이메일 주소, 2단계 인증 설정을 바꿔 계정을 잠그는 것은 불가능했다고 밝혔다.

취약점은 계정 전환 시 개인 PAT를 새 소유자에게 넘기기 시작한 2024년 8월 26일에 도입됐다. Docker는 2026년 9월 30일 취약점 제보를 받고 확인한 뒤 4시간이 지나기 전에 운영 환경에 수정 사항을 배포했다. 전송된 토큰으로 이뤄진 30만 4,000건의 이미지 업로드와 위험도가 높은 공개 이미지를 조사했지만, 악용 증거는 찾지 못했다고 밝혔다.

영향을 받은 사용자와 조직 소유자에게는 10월 2일 알림이 전달됐고, 토큰은 10월 8일 비활성화됐다. 다만 소유자가 유지해 달라고 명시적으로 요청한 토큰은 제외됐다. Docker는 알림을 받지 않은 사용자는 영향을 받지 않았으므로 별도 조치를 할 필요가 없다고 안내했다. 현재는 계정을 조직으로 전환할 때 PAT를 이전하지 않으며, 사용자의 동의를 받은 뒤 조직 소유자로 지정한다.

Docker 보안 공지