L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié le 20 mai 2026 un avis de sécurité alertant sur plusieurs vulnérabilités découvertes dans Docker Desktop, l’environnement de conteneurisation largement utilisé par les développeurs. Selon cet avis, deux failles distinctes, identifiées sous les références CVE-2026-5817 et CVE-2026-5843, permettent à un attaquant de provoquer une exécution de code arbitraire à distance sur les systèmes vulnérables.
Systèmes concernés
Les produits affectés sont toutes les versions de Docker Desktop antérieures à la version 4.71.0. Cette version, publiée fin avril 2026, intègre les correctifs de sécurité nécessaires. Docker Desktop est un outil clé pour le développement et le déploiement d’applications conteneurisées, et sa large adoption rend ces failles particulièrement préoccupantes pour les équipes techniques et les infrastructures.
Détail des vulnérabilités
Le premier bulletin de sécurité émis par Docker le 7 avril 2026 concernait la faille CVE-2026-5817. Un second bulletin, daté du 27 avril 2026, a été publié pour la faille CVE-2026-5843. Les deux bulletins, référencés respectivement #docker-desktop-4680-security-update-cve-2026-5817 et #docker-desktop-4710-security-update-cve-2026-5843, détaillent les conditions d’exploitation et les correctifs apportés. L’ANSSI recommande de se référer à ces bulletins pour obtenir les informations techniques complètes.
Risques et impact
La gravité de ces vulnérabilités est jugée élevée, car elles ouvrent la voie à une prise de contrôle à distance du système cible, sans nécessiter d’authentification préalable dans certains scénarios d’exploitation. Un attaquant pourrait ainsi exécuter des commandes arbitraires, installer des programmes, modifier ou supprimer des données, ou encore créer des comptes avec des droits étendus. Les environnements de développement, de test et de production utilisant Docker Desktop sont potentiellement exposés.
Recommandations
Les autorités de cybersécurité françaises exhortent les administrateurs et les utilisateurs à mettre à jour sans délai leur installation de Docker Desktop vers la version 4.71.0 ou ultérieure. Cette mise à jour constitue la seule mesure de protection validée pour neutraliser les deux failles. Aucune solution de contournement n’a été communiquée par l’éditeur pour les versions antérieures.
Contexte et historique
Docker Desktop est un logiciel propriétaire intégrant un moteur de conteneurs, une interface graphique et des outils en ligne de commande. Il est utilisé sur les systèmes d’exploitation Windows et macOS, mais aussi parfois sur Linux via une machine virtuelle. Les vulnérabilités de type exécution de code à distance sont parmi les plus redoutées dans le domaine de la cybersécurité, car elles offrent un accès complet à la machine compromise. La publication conjointe de deux avis par Docker en avril 2026 témoigne d’un effort continu de correction de failles identifiées.
Les équipes de sécurité sont invitées à vérifier leurs déploiements et à s’assurer que les politiques de mise à jour automatique sont activées, ou à procéder manuellement au téléchargement de la dernière version depuis le site officiel de l’éditeur. Il est également recommandé de surveiller les annonces ultérieures de Docker pour tout correctif complémentaire.
Conclusion
La découverte de ces vulnérabilités souligne l’importance d’une veille de sécurité rigoureuse pour les outils de développement. Docker Desktop, bien que largement déployé, n’est pas exempt de failles critiques. La réactivité de l’éditeur et la diffusion rapide d’un correctif par l’ANSSI permettent aujourd’hui de limiter les risques, à condition que les utilisateurs appliquent la mise à jour sans attendre.
