Podman corrige una vulnerabilidad crítica que permite a una imagen desactivar el aislamiento de los contenedores
Una vulnerabilidad crítica (CVE-2026-94603, CVSS 10) en Podman permite que una imagen manipulada anule las restricciones de seguridad fijadas por el usuario al crear un contenedor. Afecta a instalaciones con privilegios de root desde la versión 4.4.0 y se corrige en las versiones 5.8.8 y 6.1.3.
Qué ha pasado
Los desarrolladores de Podman, la herramienta de código abierto para gestionar contenedores y pods OCI, han corregido la vulnerabilidad CVE-2026-94603, con la puntuación máxima de gravedad (CVSS 10, crítica). Según las notas de la versión 5.8.8 publicadas en GitHub, al ejecutar podman run sobre una imagen de tipo checkpoint (cualquier imagen con la anotación io.podman.annotations.checkpoint.runtime.name) se podía desactivar todo el aislamiento del contenedor, incluido el que hubiera especificado el propio usuario.
En la práctica, Podman ignoraba sin avisar opciones de seguridad como --cap-drop=ALL, y era la propia imagen la que decidía qué nivel de aislamiento y qué capacidades obtenía el contenedor. Quien consiga que se ejecute una imagen preparada con esa anotación podría así obtener un contenedor con muchos menos límites de los previstos.
A quién afecta
Según la descripción publicada en NVD, están afectadas las versiones de Podman desde la 4.4.0 hasta antes de la 5.8.8 y de la 6.1.3, según la rama utilizada. Los contenedores rootless (ejecutados sin privilegios de root) no están afectados, porque en ese modo no está disponible la función de checkpoint y restauración.
El riesgo es mayor en entornos que ejecutan con root imágenes descargadas de registros públicos o de terceros, como servidores de integración continua, plataformas de desarrollo compartidas o servidores de producción.
Estado de la explotación
Por ahora la vulnerabilidad no figura en el catálogo KEV de CISA, por lo que no hay confirmación de explotación activa, y FIRST todavía no ha calculado su probabilidad de explotación (EPSS). Aun así, la gravedad máxima y la facilidad del ataque justifican actualizar cuanto antes.
Qué hacer
La corrección incluye un cambio que rompe la compatibilidad: según el aviso de Podman, se ha eliminado el soporte para ejecutar imágenes checkpoint con podman run, porque los checkpoints ignoran la configuración de seguridad indicada por el usuario y son muy difíciles de ejecutar de forma segura. Conviene revisar si algún proceso interno depende de esa función antes de desplegar la actualización.
- Actualizar Podman a la versión 5.8.8 o 6.1.3, según la rama en uso.
- Inventariar los equipos que ejecutan Podman con root entre las versiones 4.4.0 y las corregidas.
- Mientras no se actualice, ejecutar los contenedores en modo rootless siempre que sea posible.
- No ejecutar con root imágenes de origen desconocido y revisar con podman image inspect si alguna imagen lleva la anotación io.podman.annotations.checkpoint.runtime.name.
- Comprobar si algún flujo de trabajo usa imágenes checkpoint con podman run y adaptarlo al nuevo comportamiento.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-94603 | Crítica (10) | — | 13/10/2026 | Pendiente de análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.