Docker Hub : le transfert de jetons lors des conversions de comptes corrigé

Faits annoncés

Docker a publié le 12 octobre 2026 un avis sur CVE-2026-105445, un défaut de transfert de jetons personnels lors de la conversion d’un compte Docker Hub en organisation. Les jetons pouvaient agir au registre sous l’identité du nouveau propriétaire, dans leur périmètre de droits. L’accès pouvait concerner la lecture, la publication ou la suppression d’images, sans permettre la prise de contrôle du compte web.

Docker indique avoir corrigé le service le 30 septembre, puis notifié les comptes potentiellement exposés le 2 octobre. Le 8 octobre, les jetons identifiés ont été désactivés, sauf ceux conservés à la demande de leur titulaire. L’éditeur ne rapporte pas de preuve d’exploitation après son enquête. Cette conclusion ne signifie pas une démonstration absolue d’absence d’abus.

Sources : avis primaire Docker.

Impacts immédiats — analyse

Une équipe recevant la notification peut rapprocher les jetons cités de ses usages de publication et de ses historiques CI. Un jeton possède un propriétaire et un périmètre qui doivent rester explicables. Cette revue ciblée ne justifie pas d’affirmer que toutes les images ou tous les utilisateurs Docker Hub ont été compromis.

À un an — hypothèses conditionnelles

Si les équipes conservent la provenance de leurs publications et un inventaire des jetons, elles pourraient mieux traiter les changements de propriétaire. Le suivi porterait sur les accès encore nécessaires et les exceptions documentées ; aucune garantie d’intégrité n’en découle automatiquement.

Actions à envisager

1. Le responsable du registre peut rechercher une éventuelle notification Docker et identifier les jetons concernés.
2. L’administrateur peut examiner les usages de ces jetons et leurs droits dans les automatisations de publication.
3. L’équipe de sécurité peut organiser une vérification ciblée des images et des traces si le contexte le justifie.

Incertitudes et limites

La correction est côté Docker Hub : aucune mise à jour générale du client n’est requise pour ce défaut. Docker indique que les utilisateurs non notifiés n’étaient pas exposés par ce mécanisme. Aucun compte, jeton ou image client n’a été inspecté ici.

Proposition automatique corrigée par Codex après lecture de l’avis primaire. Les analyses et perspectives restent conditionnelles.

Sources

• Docker : avis CVE-2026-105445 — publication du 12 octobre 2026, correction du 30 septembre distinguée.
• Relais The Hacker News — signal Surveyor du 13 octobre, rédaction du 25 octobre.