Am 15. September 2026 hat Docker eine Sicherheitsmitteilung veroeffentlicht, die nur einen Bruchteil der Aufmerksamkeit bekam, die sie verdient. Zwei Schwachstellen in Docker Sandboxes, dem Produkt, das jeden KI-Coding-Agenten in einer eigenen leichten virtuellen Maschine ausfuehrt, erlaubten Code in dieser Maschine den Schritt nach draussen auf den Host. Eine ist Kritisch mit CVSS 9.4. Die andere Hoch mit 8.7. Beide sind in 0.42.0 behoben.
Bleiben Sie kurz bei einem Satz aus Dockers eigener Dokumentation. Die Hypervisor-Grenze "ist die Isolationskontrolle, nicht die Rechteabtrennung in der VM". Uebersetzt: Alles in der VM gilt als feindlich. Der Agent, die Pakete, die er installiert, die Befehle, die er mit sudo ausfuehrt. Das ist das ganze Design. Die Sandbox ist kein bequemer Mantel um ein riskantes Werkzeug. Sie ist die Kontrolle.
Wenn also die Dateifreigabe, die eine Sandbox nuetzlich macht, sie zugleich ausbrechbar macht, bricht das Vertrauensmodell zusammen.
Was Docker offengelegt hat
Die Mitteilung von Docker umfasst zwei Schwachstellen in Docker Sandboxes, dem Werkzeug, das jedem KI-Coding-Agenten eine eigene Mikro-VM mit eingebundenem Projektverzeichnis gibt.
- CVE-2026-77179 ist Kritisch, CVSS 9.4. Sie steckt im virtio-fs-Hostserver, der Host-Seite der Dateifreigabe zwischen dem Mac und der VM. Der Server folgte Symlinks, wenn er eine geloeschte Datei aus einem gespeicherten Pfad erneut oeffnete. Ein Gast konnte ein uebergeordnetes Verzeichnis durch einen Symlink ersetzen, aus dem geteilten Arbeitsverzeichnis ausbrechen und beliebige Dateien als VMM-Benutzer lesen oder aendern, also als das Host-Konto, das den VM-Monitor ausfuehrt, was laut Docker "moeglicherweise zur Codeausfuehrung auf dem Host fuehrt". Betroffen: 0.28.0 bis ausschliesslich 0.42.0, nur macOS.
- CVE-2026-79994 ist Hoch, CVSS 8.7. Sie steckt im Relay, der eine Sandbox mit Unix-Domain-Sockets in ihrem autorisierten Arbeitsbereich verbindet. Das Relay pruefte, dass ein Socket-Pfad im Arbeitsbereich lag, und verband sich dann per Name neu. Ein Gast, der ein Verzeichnis auf diesem Pfad zwischen Pruefung und Verbindung durch einen Symlink ersetzte, konnte den Host jeden AF_UNIX-Socket ausserhalb des Arbeitsbereichs erreichen lassen und damit "Daten oder Host-Faehigkeiten dieses Sockets offenlegen". Betroffen: 0.37.0 bis ausschliesslich 0.42.0.
Beide wurden am 7. September 2026 in 0.42.0 behoben. Die neueste Version ist 0.43.0 vom 15. September. Docker meldet keine Ausnutzung, die CISA-Bewertung in den Eintraegen nennt keine Ausnutzung, und keine der Schwachstellen steht im Katalog bekannter ausgenutzter Schwachstellen in der Fassung vom 16. September.
Das unangenehme Detail
Dockers Dokumentation sagt seit Maerz, dass Symlinks, die aus dem Arbeitsbereich herauszeigen, nicht verfolgt werden. Das war das Versprechen. CVE-2026-77179 ist der Rueckfallpfad fuer gespeicherte Pfade, der es still bricht.
Das ist das Muster, das Sicherheitsteams in Agenten-Werkzeugen immer wieder treffen. Die Kontrollen sind real, die Designabsicht ist solide, und dann macht ein Rueckfallzweig in einem Codepfad das Naive. Der Ausbruch laeuft mit den Rechten des Host-Kontos, das die VM gestartet hat. Ist das Konto der Alltags-Login des Entwicklers, gilt das auch fuer alles, was von dort erreichbar ist: SSH-Keys, Cloud-CLI-Zugangsdaten, Browsersitzungen, Quellcode-Checkouts, Passwort-Tresore.
Warum der CVSS-Wert nicht das Risikoniveau ist
Keine der Schwachstellen ist aus der Ferne ausnutzbar. Beide brauchen zuerst Schadcode in der Sandbox. Das klingt beruhigend, bis man sich klar macht, was ein Coding-Agent ist. Es ist ein Prozess, der nicht vertrauenswuerdige Eingaben liest, darin eingebettete Anweisungen befolgt, Pakete aus oeffentlichen Registries installiert und generierten Code mit erhoehten Rechten in seiner VM ausfuehrt. Prompt-Injection ist eine aktive, ungeloeste Angriffsklasse. Eine vergiftete Abhaengigkeit ist Routine. Der Gast ist keine vertrauenswuerdige Zone, und die gesamte Architektur sagt das.
Die ehrliche Frage ist also nicht, ob jemand das ausnutzen kann. Sie lautet, wie Ihr Schadensradius aussieht, an dem Tag, an dem es jemand tut. Laufen Ihre Agenten unter einem Konto, das auch Produktionszugangsdaten haelt, lautet die Antwort: alles.
Was diese Woche zu tun ist
- Aktualisieren Sie auf 0.42.0 oder neuer. 0.43.0 ist da. Wenn Sie nicht sofort aktualisieren koennen, empfiehlt Docker den Clone-Modus, der die Exposition des geteilten Arbeitsbereichs entfernt.
- Erfassen Sie, wer Sandbox-Agenten betreibt. Version, Plattform und das Host-Konto, das die VM startet. Ein Patch, dessen Installation Sie nicht belegen koennen, ist kein Patch.
- Geben Sie dem VMM ein eigenes Konto mit minimalen Rechten. Keine Cloud-Zugangsdaten, keine SSH-Keys, keine Deploy-Token, kein Zugriff auf Ihren Passwort-Tresor. Der Ausbruch erbt genau die Rechte, die Sie der VM gegeben haben.
- Halten Sie Secrets aus dem geteilten Projektverzeichnis heraus. Der Arbeitsbereich ist genau das, was die Sandbox nicht vertrauenswuerdigem Code uebergeben soll.
- Behandeln Sie die Isolationsgrenze als einen Fehler vom Versagen entfernt, weil sie das ist. Schichten Sie: keine langlebigen Zugangsdaten in der Agentenumgebung, Egress-Monitoring auf Agenten-Hosts und eine separate Maschine fuer alles, was Produktion beruehrt.
- Machen Sie den Patch-Takt fuer Entwicklerwerkzeuge zu einem Sicherheitsprozess, nicht zu einer Gewohnheit. Agenten-Sandboxes erscheinen woechentlich. Ihr Review-Zyklus sollte kuerzer sein als der Abstand zwischen ihren CVEs.
Die groessere Lektion
Wir haben zwei Jahre lang Teams geraten, ihre KI-Agenten in Sandboxes zu setzen. Gebt ihnen eine VM, begrenzt ihr Netzwerk, haltet sie von der Produktion fern. Dieser Rat ist weiterhin richtig und weiterhin die beste verfuegbare Kontrolle.
Aber eine Sandbox ist eine Grenze zwischen zwei Vertrauenszonen, und Grenzen brauchen dieselbe Disziplin wie ueberall sonst: minimale Rechte auf beiden Seiten, keine umgebenden Zugangsdaten, Monitoring und ein Patch-Prozess, der tatsaechlich laeuft. Docker hat diese Schwachstellen in acht Tagen behoben und verantwortungsvoll offengelegt. Die Technik war gut. Die unbequeme Lektion ist subtiler. In agentischen Systemen entscheidet jede Komponente der Kette darueber, wie viel die Grenze wert ist, und der schwaechste Rueckfallzweig setzt den Preis.
Wenn Ihr Team KI-Coding-Agenten betreibt und Sie nicht sicher sind, was sie aus ihrer Sandbox heraus erreichen koennen, ist das ein Gespraech, das diese Woche gefuehrt werden sollte.
Quellen
- Docker-Sicherheitsmitteilungen: Docker Sandboxes 0.42.0 Sicherheitsupdate (CVE-2026-77179 und CVE-2026-79994), 15. September 2026
- The Hacker News: Critical Docker Sandboxes Flaw Lets Malicious Guest Code Read and Modify macOS Host Files, 17. September 2026
- Docker Sandboxes Isolationsdokumentation
- Docker sbx-releases v0.42.0 und v0.43.0