この変更が意味すること
Docker v29.4.2 がリリースされました。CVE-2026-31431 に対するセキュリティ修正を含むパッチリリースです。
デフォルトの seccomp プロファイルに AF_ALG ソケットと socketcall(2) マルチプレクサのブロックが追加されました。これにより、カーネル暗号 API（通称 "Copy Fail"）を利用したコンテナ内からの権限昇格攻撃を防止します。コンテナを本番運用している環境では早めのアップデートを推奨します。
seccomp プロファイルをカスタマイズしている場合は、AF_ALG ソケットや socketcall(2) を明示的に許可していないか確認してください。
主な変更点
CVE-2026-31431: seccomp プロファイルの強化
デフォルトの seccomp プロファイルで AF_ALG ソケットと socketcall(2) マルチプレクサがブロックされるようになりました。カーネル暗号 API を利用したコンテナ内での権限昇格（"Copy Fail" 攻撃）を防止するための hardening です。
AF_ALGソケットはカーネルの暗号化サブシステムへのユーザースペースインターフェースsocketcall(2)は複数のソケット操作を1つのシステムコールで行うマルチプレクサ- これらをブロックすることで、攻撃面を縮小
PR: moby/moby#52501
注意: カーネル暗号 API をコンテナ内から利用しているワークロード（暗号化ハードウェアアクセラレーションを直接利用するケースなど）は、カスタム seccomp プロファイルの調整が必要になる可能性があります。
EOL / サポート状況
| サイクル | 最新バージョン | ステータス | EOL |
|---|---|---|---|
| 29 | 29.4.2 | アクティブ | - |
| 28 | 28.5.2 | アクティブ | - |
| 27 | 27.5.1 | EOL | 2025-05-03 |
| 26.1 | 26.1.5 | EOL | 2025-02-17 |
| 26.0 | 26.0.2 | EOL | 2024-06-08 |
Docker 29 系は現在アクティブにサポートされています。Docker 27 以前は既に EOL のため、28 または 29 系へのアップグレードを推奨します。
開発者への影響
- Docker を本番運用中の方: CVE-2026-31431 の緩和策が含まれます。セキュリティ修正のため早めのアップデートを推奨
- seccomp プロファイルをカスタマイズしている方:
AF_ALGソケットやsocketcall(2)を利用している場合、ブロックされる可能性があるため確認が必要 - カーネル暗号 API を利用していない方: デフォルト設定のままで追加の対応は不要。通常のコンテナワークロードには影響しません
- Docker 27 以前を使用中の方: EOL 済みのため、28 または 29 系へのアップグレードを推奨します
アップデート方法
# Docker Desktop の場合
# アプリケーションの設定から自動アップデートを確認
# Linux（apt）
sudo apt-get update && sudo apt-get install docker-ce docker-ce-cli
# Linux（yum）
sudo yum update docker-ce docker-ce-cli
データソース: GitHub Releases API, endoflife.date AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。