Docker Sandboxes ist noch ein recht neues Feature: isolierte Mini-VMs, in denen KI-Coding-Agenten wie Claude Code, Copilot CLI, Codex oder OpenCode unbeaufsichtigt arbeiten können, ohne direkten Zugriff auf den restlichen Rechner zu bekommen. Genau dieses Versprechen — eine harte Sicherheitsgrenze zwischen Agent und Host — hatte bis vor Kurzem ein Loch.
DIE LÜCKE: CVE-2026-77179, CVSS 9,4
Der Fehler steckt in der virtio-fs-Komponente, über die Docker Sandboxes den freigegebenen Projektordner zwischen Host und Mini-VM teilen. Wurde eine Datei im gemeinsamen Verzeichnis gelöscht und danach über den gespeicherten Pfad erneut geöffnet, folgte der virtio-fs-Host-Server dabei Symlinks — ein Gast-Prozess in der Sandbox konnte dadurch ein übergeordnetes Verzeichnis durch einen symbolischen Link ersetzen. Ergebnis: Code, der eigentlich in der Sandbox gefangen sein sollte, konnte Dateien außerhalb des freigegebenen Projektordners lesen und verändern — mit den Rechten des Benutzerkontos, unter dem die virtuelle Maschine läuft.
Betroffen sind Docker Sandboxes 0.28.0 bis 0.41.9 auf macOS. Eine zweite, weniger schwere Lücke (CVE-2026-79994, CVSS 8,7) in der Unix-Socket-Relay-Funktion wurde im selben Update behoben.
WEN BETRIFFT DAS WIRKLICH?
Wichtig zur Einordnung: Es geht hier nicht um klassische Docker-Container auf einem Linux-Server oder einem Homelab-NAS. Docker Sandboxes ist ein Feature von Docker Desktop speziell für macOS, gedacht für Entwickler, die KI-Coding-Agenten lokal in einer isolierten Umgebung laufen lassen wollen. Wer Docker klassisch unter Linux betreibt oder Docker Desktop nutzt, ohne die Sandboxes-Funktion aktiv einzusetzen, ist von dieser konkreten Lücke nicht betroffen — die Kernidee bleibt aber relevant: Sandbox-Grenzen sind nur so gut wie ihre schwächste Dateisystem-Schnittstelle.
BEREITS SEIT DEM 7. SEPTEMBER GEFIXT
Die gute Nachricht: Docker hat die Lücke bereits mit Version 0.42.0 am 7. September 2026 geschlossen, veröffentlicht wurde die Schwachstelle erst am 17. September. CISA stuft die Ausnutzung aktuell mit „keine“ ein, es gibt also bislang keine Hinweise auf reale Angriffe. Wer Docker Desktop automatisch aktualisiert, dürfte also bereits geschützt sein — ein manueller Check schadet trotzdem nicht.
WARUM DAS TROTZDEM EIN WARNSCHUSS IST
Je mehr Entwickler KI-Agenten unbeaufsichtigt Code schreiben, testen und ausführen lassen, desto wichtiger werden genau solche Sandbox-Grenzen. Ein Agent, der versehentlich oder durch eine manipulierte Aufgabenstellung schädlichen Code ausführt, sollte im schlimmsten Fall nur den Projektordner beschädigen können — nicht den gesamten Rechner. Diese Lücke zeigt, dass selbst frisch gebaute Isolationsschichten Kinderkrankheiten haben können, gerade bei komplexen Dateisystem-Bridges wie virtio-fs.
SO PRÜFST UND AKTUALISIERST DU
- In Docker Desktop unter Einstellungen → Software-Updates die aktuelle Version prüfen.
- Manuell auf 0.42.0 oder neuer aktualisieren, falls noch nicht geschehen.
- Laufende Sandbox-Sitzungen nach dem Update neu starten, damit die reparierte virtio-fs-Komponente greift.
FAZIT: Update machen, Einordnung behalten
Ein CVSS-Wert von 9,4 klingt zunächst dramatisch — betrifft hier aber ein recht spezifisches Setup: Docker Desktop, macOS, aktivierte Sandboxes-Funktion. Wer das nutzt, sollte umgehend aktualisieren. Alle anderen können die Meldung als Erinnerung lesen, dass KI-Agenten-Sandboxes zwar ein sinnvolles Sicherheitskonzept sind, aber wie jede Software gepflegt werden müssen.