gVisor 沙箱加固实战：容器运行时隔离配置
gVisor 沙箱加固实战教程：用 runsc 为 Docker 注册沙箱运行时，按业务选择 ptrace 或 KVM 平台，沙箱网络栈与出口白名单收敛，叠加只读根文件系统与 capability 降权，附 dmesg、uname、docker inspect 三重生效验证。
Docker
Cloudflare Containers 跨租户数据残留漏洞暴露 60KiB 未清零块
Cloudflare Containers 共享存储池未清零复用的 64KiB 块，Workers 付费账户可读取其他租户容器残留数据，涉及 SQLite 数据库、.env 与凭据文件；官方已于 9 月 19 日完成修复，客户无需操作。
Docker Socket 暴露防护实战配置指南
识别容器挂载 docker.sock 与 2375 端口暴露，给出移除挂载、套接字代理接口白名单、套接字权限收敛、userns-remap 与 auditd 审计告警的完整加固和验证流程。
Docker Sandboxes 曝 macOS 沙箱逃逸 CVE-2026-77179，CVSS 9.4 可读写主机任意文件
Docker 披露 Docker Sandboxes 在 macOS 上的严重漏洞 CVE-2026-77179，CVSS 9.4：沙箱内恶意代码可借 virtio-fs 主机服务端的符号链接跟随缺陷逃逸出共享目录，以主机账户权限读写任意文件，修复版本为 0.42.0。
argocd-mcp 曝 CVSS 10.0 满分未认证接管漏洞：Kubernetes GitOps 流水线沦为开放控制器
argocd-mcp 0.8.0 在配置 ARGOCD_API_TOKEN 时将 MCP 服务监听绑定到 0.0.0.0 且不验证调用方凭证，CVSS 10.0 满分；任何能触达监听端口的攻击者都可借此完全控制 Argo CD 实例并部署任意清单。
OpenSSL 8 月安全更新修复 9 处拒绝服务漏洞：QUIC 双重释放与 CMS 8 字节堆越界写入最受关注
OpenSSL 项目组于 2026 年 8 月 25 日集中发布安全公告，一次性修复 9 处漏洞，其中 2 个 “中危（Moderate）”、7 个 “低危（Low）”，影响 QUIC、DTLS、CMS、CMP 等主流加密协议栈。虽然官方确认这些漏洞都不可能导致远程代码执行，但堆破坏、空指针解引用
Trivy 容器镜像安全扫描实战：CI/CD 漏洞检测与修复指南
一文掌握 Trivy 容器镜像安全扫描：安装部署、漏洞扫描命令、CI/CD 流水线门禁集成、SARIF 导出与 .trivyignore 豁免机制，附 GitHub Actions 完整示例，实现镜像构建即扫描、高危漏洞不进生产。
Docker 容器安全加固实战：镜像与运行时防护
容器不等于安全边界，默认配置下的容器存在提权、逃逸与资源耗尽风险。本文给出 Docker 安全加固完整清单：最小化镜像、非 root 运行、capability 收窄与只读文件系统配置。