Uma falha Docker Desktop de gravidade crítica foi descoberta, representando uma das ameaças mais sérias já registradas contra a ferramenta usada diariamente por milhões de desenvolvedores no mundo inteiro. A vulnerabilidade, catalogada como CVE-2025-9074, permite que um contêiner malicioso assuma o controle do sistema operacional do host, transformando um simples ambiente de testes em uma brecha para o sequestro completo de PCs com Windows ou macOS.
Essa descoberta coloca em risco engenheiros de DevOps, administradores de sistemas, estudantes e empresas inteiras que utilizam o Docker Desktop para desenvolvimento e testes locais. Mais alarmante ainda: nem mesmo a proteção Enhanced Container Isolation (ECI), projetada para reforçar a segurança, consegue impedir a exploração dessa vulnerabilidade.
Neste artigo, vamos explicar o que é a CVE-2025-9074, mostrar os riscos reais para usuários de Windows e macOS, indicar como verificar se você está vulnerável e fornecer um passo a passo urgente para se proteger imediatamente.
O que é a vulnerabilidade CVE-2025-9074 no Docker Desktop?
A CVE-2025-9074 é um caso grave de falsificação de solicitação do lado do servidor (SSRF). Em termos simples, essa técnica permite que um atacante force um serviço confiável a executar requisições em nome dele, abrindo caminho para acesso não autorizado.
No caso do Docker Desktop, um contêiner malicioso pode explorar essa falha para se comunicar com a API do Docker Engine sem autenticação. A partir daí, o invasor consegue emitir comandos privilegiados, manipulando o ambiente do host como se tivesse acesso legítimo ao sistema.
O pesquisador Felix Boulet foi quem descobriu essa brecha, que recebeu classificação de gravidade 9.3 (crítica). Isso significa que a falha tem alto potencial de exploração, impacto significativo e exige correção imediata.
O impacto real: por que usuários de Windows estão em maior risco
O perigo no Windows
Usuários de Windows enfrentam o maior risco porque o Docker Engine é executado via WSL2 (Windows Subsystem for Linux). Ao explorar a falha, um contêiner malicioso consegue montar todo o sistema de arquivos do Windows (C:), acessando dados como:
- Códigos-fonte de projetos em desenvolvimento.
- Senhas armazenadas em navegadores ou aplicativos.
- Arquivos de configuração e credenciais de serviços internos.
Além disso, a exploração permite escalação de privilégios, possibilitando ao invasor assumir funções de administrador do sistema e, consequentemente, o controle total da máquina.
A situação no macOS
No macOS, a vulnerabilidade também existe, mas com impacto ligeiramente reduzido devido às proteções nativas do sistema. O macOS exige permissão explícita do usuário para montar diretórios sensíveis, o que dificulta a exploração direta do mesmo nível de acesso observado no Windows.
No entanto, isso não significa que os usuários de Mac estão seguros. Um invasor ainda pode:
- Assumir o controle dos contêineres em execução.
- Alterar configurações críticas.
- Injetar backdoors para ataques futuros.
Ou seja, mesmo com camadas adicionais de defesa, os riscos permanecem significativos e exigem atualização imediata.
Você está em risco? como verificar e corrigir a falha agora
Verifique sua versão
A falha afeta todas as versões do Docker Desktop anteriores à 4.44.3. Para verificar a versão instalada:
- Abra o Docker Desktop.
- Vá até o menu About Docker Desktop.
- Confirme a versão exibida na tela.
Se a sua versão for inferior à 4.44.3, você está vulnerável.
Como atualizar e se proteger
Para corrigir a falha:
- Acesse o próprio aplicativo Docker Desktop e utilize a opção de atualização automática.
- Ou, se preferir, baixe a versão mais recente diretamente no site oficial do Docker.
A atualização para a versão 4.44.3 ou superior elimina a vulnerabilidade e garante que seu ambiente esteja protegido contra a exploração da CVE-2025-9074.
A segurança começa no localhost: uma lição importante
Essa falha crítica deixa claro que segurança não se limita ao ambiente de produção. Muitas vezes, desenvolvedores subestimam a importância de manter o localhost atualizado, mas a realidade é que uma máquina comprometida pode servir de porta de entrada para ataques em escala maior, impactando toda a infraestrutura de uma empresa.
Além da atualização imediata do Docker Desktop, este é o momento para reforçar boas práticas, como:
- Manter todas as ferramentas de desenvolvimento sempre atualizadas.
- Adotar políticas de segurança consistentes, mesmo em ambientes locais.
- Compartilhar alertas de vulnerabilidade dentro das equipes, garantindo que ninguém permaneça exposto.
A mensagem é clara: se você usa Docker Desktop, precisa agir agora. Atualize sua instalação, alerte seus colegas e trate o ambiente local com o mesmo nível de segurança aplicado à produção.
