Docker publicó el 12 de octubre de 2026 un aviso sobre una falla crítica en Docker Hub, el sitio donde millones de equipos guardan y descargan sus imágenes de contenedores. Una imagen es como un paquete listo para correr tu aplicación con todo lo que necesita.
La falla ya está corregida y no tienes que instalar nada. Aun así, conviene entender qué pasó, porque toca un punto delicado: quién puede publicar imágenes con tu nombre.
¿Qué pasó?
La falla se registró como CVE-2026-105445 y vivía en la función para convertir una cuenta personal en una organización. Al hacerlo, Docker Hub pasaba los tokens de acceso personal de esa cuenta al usuario elegido como dueño de la nueva organización, pero sin cambiar el secreto ni pedirle permiso.
Un token de acceso es una especie de contraseña para programas. Con ese truco, un atacante podía crear una cuenta, generar un token, convertir la cuenta en organización y poner como dueño a otra persona. Su token seguía funcionando, pero ahora con los permisos de la víctima.
Según Docker y BleepingComputer, eso permitía descargar, subir o borrar imágenes en los repositorios de la víctima, según el alcance del token. No daba acceso al sitio web, ni permitía cambiar la contraseña, el correo o la verificación en dos pasos.
¿Desde cuándo y qué hizo Docker?
El problema existía desde el 26 de agosto de 2024. Docker recibió el reporte el 30 de septiembre de 2026 y desplegó la corrección ese mismo día, en menos de cuatro horas. Desde entonces la conversión ya no transfiere tokens y pide el consentimiento de quien será dueño.
La empresa revisó todas las conversiones y cerca de 304,000 subidas de imágenes hechas con tokens transferidos, y dice que no encontró señales de que alguien aprovechara la falla. El 2 de octubre avisó por correo a los usuarios expuestos y el 8 de octubre desactivó esos tokens, salvo los que sus dueños pidieron conservar.
¿Por qué te importa?
Si tu equipo despliega aplicaciones con Docker, una imagen alterada en un repositorio de confianza es un ataque a la cadena de suministro: tus servidores descargarían código malicioso creyendo que es el tuyo. Por eso Docker la calificó como crítica aunque no hubo explotación conocida.
También es un buen recordatorio de algo que aplica a GitHub, npm y cualquier servicio: los tokens viejos que nadie revisa son una puerta abierta.
¿Qué puedes hacer?
- Busca en tu correo el aviso de Docker del 2 de octubre. Si no lo recibiste, Docker dice que tu cuenta no estuvo expuesta.
- Si lo recibiste, entra a la configuración de tu cuenta en Docker Hub, abre la sección de tokens de acceso personal y revoca los que no reconozcas o ya no uses.
- Para automatizar despliegues de una organización, usa tokens de organización en lugar del token personal de alguien del equipo.
- Revisa que las imágenes que usas en producción no hayan cambiado sin que nadie del equipo lo sepa.
- Haz un hábito de revisar y rotar tus tokens cada cierto tiempo, en Docker y en otros servicios.
Sigue leyendo
Fuentes
- Blog de Docker: Docker Hub Security Advisory: CVE-2026-105445
- BleepingComputer: Docker Hub flaw let attackers impersonate users, tamper with images
Imagen de portada: foto de panumas nikhomkhai en Pexels.