Docker corrige un fallo crítico en Docker Hub que permitía suplantar a usuarios en el registro mediante tokens

Qué ha pasado

Docker ha publicado un aviso sobre la CVE-2026-105445, una vulnerabilidad de asignación incorrecta de privilegios en Docker Hub con una puntuación CVSS 4.0 de 9,4 (crítica). El fallo estaba en la función que convierte una cuenta personal en una organización. Desde el 26 de agosto de 2024, esa conversión reasignaba los tokens de acceso personal (PAT) de la cuenta convertida al usuario designado como propietario de la nueva organización, sin rotar ni revocar el secreto del token y sin pedirle confirmación ni notificárselo.

Según el aviso de Docker, un atacante podía crear una cuenta, generar un PAT, convertir la cuenta en organización y nombrar como propietario a un usuario objetivo. El token, cuyo secreto seguía en manos del atacante, pasaba a autenticarse en el registro como la víctima. El fallo lo comunicó un equipo de investigadores externo (mptrdev.com) el 30 de septiembre de 2026, y Docker desplegó la corrección en producción esa misma tarde, en menos de cuatro horas.

Alcance del riesgo

Dentro de los permisos del token, el atacante podía descargar, subir o borrar imágenes en los repositorios del usuario objetivo y en los de las organizaciones a las que este tuviera acceso. Como eso incluye publicar imágenes bajo un nombre legítimo, Docker lo trata como un riesgo para la cadena de suministro de software.

El fallo no daba acceso a la interfaz web de Docker Hub ni permitía cambiar la contraseña, el correo electrónico o la configuración de doble factor, ni tomar el control de la cuenta. La ventana de exposición fue del 26 de agosto de 2024 (20:33 UTC) al 30 de septiembre de 2026. La CVE no figura en el catálogo KEV de CISA de vulnerabilidades explotadas activamente.

A quién afecta

Docker Hub es un servicio en la nube, por lo que la corrección se aplicó en el servidor y no hay que instalar ningún parche. Docker revisó todas las conversiones de cuentas realizadas durante la ventana de exposición y, el 2 de octubre, envió un correo con el asunto "Docker Hub Vulnerability Identified & Resolved" al número limitado de usuarios y propietarios de organizaciones potencialmente afectados. Según Docker, si no se recibió ese correo, ni el usuario ni los miembros de las organizaciones que administra estuvieron expuestos. El 8 de octubre, además, desactivó de forma forzosa los PAT transferidos mediante conversiones, con algunas excepciones que el extracto disponible del aviso no detalla.

Qué hacer

La mayoría de los usuarios no tiene que hacer nada. Para los que sí recibieron el aviso, o para quien quiera confirmarlo, recomendamos estos pasos:

• Buscar en el correo de los responsables de las cuentas y organizaciones de Docker Hub el mensaje del 2 de octubre con el asunto indicado.
• Si se recibió, revisar los tokens de acceso de las cuentas afectadas y revocar cualquiera que no se reconozca.
• Revisar la actividad de subida y borrado de imágenes en los repositorios afectados durante la ventana de exposición y verificar la integridad de las imágenes publicadas.
• Tener en cuenta que, tras la corrección, los PAT ya no se transfieren al convertir una cuenta: el nuevo propietario debe crearlos de nuevo, y Docker recomienda usar tokens de acceso de organización.
• Consultar el aviso de Docker para conocer el detalle completo.

Fuentes

• Docker Hub Security Advisory: CVE-2026-105445

Tecnologías afectadas

Vulnerabilidades (1)