Il 23 luglio 2026 il programma TrendAI™ Zero Day Initiative ha reso pubblica l'advisory ZDI-26-451, che documenta una vulnerabilità di sandbox escape in Docker Desktop per macOS. Il difetto risiede nel profilo sandbox del processo inference server, dove una allow list troppo permissiva consente a codice già in esecuzione nel sandbox di aggirare l'isolamento ed eseguire operazioni nel contesto dell'utente host. La disclosure coordinata, apertasi il 25 febbraio 2026 con il report al vendor, è giunta a termine con il rilascio di una patch da parte di Docker.
- Una vulnerabilità nel profilo sandbox dell'inference server di Docker Desktop per macOS permette escape dal model runner sandbox a un attaccante locale con capacità di esecuzione di codice a basso privilegio
- La causa root è una lista di input consentiti troppo permissiva nel profilo sandbox del processo inference server
- L'impatto include l'esecuzione di codice arbitrario nel contesto dell'utente corrente sul sistema host, con escalation di privilegi locale
- Docker ha rilasciato un aggiornamento correttivo; l'advisory ZDI-26-451 non include identificatore CVE né punteggio CVSS assegnati
Il meccanismo: quando il sandbox macOS cede per configurazione, non per forza
Il sandbox di macOS è tradizionalmente considerato un modello di isolamento applicativo robusto, basato su profili che definiscono esplicitamente quali operazioni un processo può eseguire. In questo caso, il profilo applicato al processo inference server di Docker Desktop presenta un difetto di configurazione: la lista degli input consentiti è più ampia di quanto necessario al funzionamento legittimo del componente.
Secondo l'advisory ZDI-26-451, "the specific flaw exists within the sandbox profile of the inference server process. The issue results from a permissive list of allowed inputs". Questa formulazione è significativa: non si tratta di una vulnerabilità nel kernel del sistema operativo né di un errore di implementazione del framework sandbox, bensì di una scelta di policy interna al profilo che espone superficie di attacco superiore al minimo indispensabile.
Un attaccante che abbia già ottenuto l'esecuzione di codice nel contesto del model runner sandbox — uno scenario realistico in ambienti dove modelli di machine learning elaborano input non fidati — può sfruttare questa permissività per uscire dai confini del sandbox. L'advisory ZDI-26-451 afferma che "an attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of the current user on the host system". Il passaggio è netto: dal sandbox al contesto utente host.
"This vulnerability allows local attackers to escape the model runner sandbox on affected installations of Docker Desktop for macOS."
— ZDI Advisory ZDI-26-451
L'inference server come superficie di attacco emergente
Il componente vulnerabile — l'inference server — rappresenta una nuova classe di superficie di attacco all'interno di prodotti consolidati. Docker Desktop, strumento standard per lo sviluppo containerizzato, ha integrato funzionalità orientate all'esecuzione di modelli di machine learning locali. L'inference server è il processo che gestisce questa elaborazione, isolato via sandbox per contenere eventuali compromissioni derivanti dall'elaborazione di modelli non fidati.
La vulnerabilità dimostra che l'aggiunta di pipeline AI/ML a prodotti maturi reintroduce rischi architetturali in sottosistemi precedentemente considerati stabili. Il sandbox macOS non viene aggirato per debolezza intrinseca, ma per come viene configurato da un componente aggiunto in un secondo momento. Questo schema — isolamento tecnicamente solido, indebolito da policy applicative errate — è ricorrente nelle integrazioni AI e merita attenzione specifica da parte dei team di sicurezza.
Il dossier non specifica se l'inference server sia componente obbligatorio o opzionale di Docker Desktop, né quali versioni del prodotto lo includano. Questa mancanza limita la capacità di valutare l'esposizione effettiva delle installazioni in produzione.
Timeline e disclosure: cinque mesi dal report alla pubblicazione
La vulnerabilità è stata riportata al vendor il 25 febbraio 2026 dal ricercatore Nitesh Surana di TrendAI Research. Il rilascio coordinato dell'advisory è avvenuto il 23 luglio 2026, a distanza di quasi cinque mesi. Questo intervallo suggerisce un processo di remediation standard, senza elementi di urgenza attribuibili a exploitation attiva nota — sebbene il dossier non confermi né escluda questa eventualità.
L'advisory ZDI-26-451 è presente nella lista pubblicata delle vulnerabilità ZDI con il titolo completo "Docker Desktop for macOS Inference Server Permissive Allow List Sandbox Escape Vulnerability", che corrobora la classificazione del difetto. Il programma ZDI attribuisce la scoperta al ricercatore e indica che "Docker has issued an update to correct this vulnerability".
Sono invece assenti dall'advisory: un identificatore CVE assegnato, il punteggio CVSS con relativo vettore, le versioni specifiche di Docker Desktop per macOS risultanti affette, e la versione patch esatta che introduce la correzione. Il link indicato come vendorPatchUrl nel campo strutturato ZDI punta allo stesso advisory, rendendo non verificabile indipendentemente l'URL diretto alla documentazione o al changelog di Docker.
Cosa fare adesso
Gli utenti di Docker Desktop per macOS devono verificare la disponibilità di aggiornamenti attraverso il meccanismo di update integrato nell'applicazione. L'advisory ZDI-26-451 conferma che Docker ha rilasciato un aggiornamento correttivo, ma non specifica versioni o changelog: l'unico canale verificabile è l'aggiornamento automatico o manuale via Docker Desktop stesso.
I team di sicurezza enterprise devono integrare ZDI-26-451 nei sistemi di gestione vulnerabilità nonostante l'assenza di identificatore CVE. La mancanza di CVSS non esime dalla valutazione del rischio: la capacità di esecuzione di codice arbitrario nel contesto utente host, con escalation da sandbox locale, classifica questa vulnerabilità come prioritaria per le workstation di sviluppo che eseguono modelli ML non verificati.
Le organizzazioni che utilizzano Docker Desktop per macOS in ambienti multiutente o con elaborazione automatica di modelli devono considerare la limitazione dell'esecuzione di modelli non fidati fino a conferma dell'applicazione della patch. Non esistono indicatori di compromissione o verifiche di versione documentati nelle fonti disponibili.
Domande frequenti
La vulnerabilità interessa anche Docker Desktop su Windows o Linux?
No. L'advisory ZDI-26-451 specifica esplicitamente "Docker Desktop for macOS". Il meccanismo del sandbox escape dipende dal profilo sandbox del processo inference server su macOS, architettura con isolamento diverso da quella implementata sulle altre piattaforme.
Perché manca il CVE?
Il campo CVE nell'estrazione strutturata dell'advisory ZDI è vuoto. Il dossier non documenta se un identificatore sia stato richiesto o assegnato successivamente. L'assenza non è sinonimo di minore rilevanza tecnica, ma riflette un possibile ritardo nel processo di coordinamento con MITRE o una scelta di disclosure accelerata.
Come verificare se la propria installazione è vulnerabile?
La fonte non fornisce indicatori di versione o procedure di verifica specifiche. L'unica informazione disponibile è che Docker ha rilasciato un aggiornamento correttivo, senza dettagli su release, changelog o criteri di identificazione delle build affette.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-451/
- http://www.zerodayinitiative.com/advisories/published/