Docker Hub teve uma falha crítica corrigida em 30 de setembro de 2026, a CVE-2026-105445, conhecida como GhostPat. Para quem publica imagens de contêiner, o problema permitia que um token de acesso pessoal passasse a agir como outra conta sem o consentimento dela.
Como a conversão de contas abria brecha
Segundo o BleepingComputer, um invasor podia criar uma conta e um token, converter a conta em organização e indicar a vítima como dona. O Docker Hub passava o token ao novo dono sem trocar o segredo e sem pedir consentimento, e o token passava a valer como a vítima no registro.
Dependendo do escopo, o token podia baixar, enviar ou apagar imagens nos repositórios da vítima e em organizações a que ela tinha acesso. A falha não dava acesso à interface web e não permitia trocar senha, e-mail ou autenticação em dois fatores. O Docker deu nota crítica porque o acesso inclui publicar imagens com um nome legítimo.
“Não encontramos evidência de que a vulnerabilidade tenha sido explorada”, disse o Docker, após revisar cerca de 304 mil envios feitos com tokens transferidos.
Prazos, correção e o que o Docker mudou
O The Hacker News informa que o problema existia desde 26 de agosto de 2024. Os pesquisadores Peter Molnar e Krisztian Hozak, do mptrdev.com, o encontraram, e o registro do CVE traz nota 9,4 no CVSS 4.0. O Docker diz que implantou a correção em menos de quatro horas após o relatório de 30 de setembro e publicou o aviso em 12 de outubro.
Usuários e donos de organizações afetados receberam e-mail em 2 de outubro, e os tokens transferidos foram desativados em 8 de outubro, salvo quando o dono pediu para mantê-los. Agora o Docker Hub exige consentimento antes de nomear um dono de organização e avisa a pessoa indicada. Quem usa tokens pessoais deve revogar os que não reconhece.
O que você acha? Você revisa com frequência os tokens de acesso das suas contas? Para acompanhar mais, acesse nossa editoria de Cibersegurança.
Perguntas Frequentes
O que foi a falha GhostPat no Docker Hub, afinal?
GhostPat é o apelido da CVE-2026-105445, falha crítica na conversão de conta pessoal em organização. O token de acesso pessoal passava ao dono indicado sem troca do segredo e sem consentimento. O Docker corrigiu o problema em 30 de setembro de 2026, segundo o BleepingComputer e o The Hacker News.
A falha do Docker Hub chegou a ser explorada por invasores?
Docker diz não ter encontrado evidência de exploração. A empresa revisou todas as conversões feitas com a falha aberta e cerca de 304 mil envios com tokens transferidos. Onde não pôde confirmar o controle das duas contas, analisou as imagens públicas de maior risco e não achou código malicioso nem adulteração.
O que usuários do Docker Hub devem fazer após a correção?
Docker recomenda revisar os tokens de acesso pessoal nas configurações da conta e revogar os desconhecidos ou sem uso. Para automação de organizações, indica tokens de organização, disponíveis nos planos Team e Business. Donos de organizações podem checar envios nos registros de atividade, mantidos por 30 dias no Docker Home.
