Docker Desktop 4.97.0 corrige exposición de claves y tokens

Docker publicó la versión 4.97.0 de Docker Desktop para corregir una vulnerabilidad que podía provocar que determinadas claves API y tokens OAuth de terceros quedaran registrados en archivos de diagnóstico y logs locales sin protección adecuada.

La actualización también aborda CVE-2026-99999, un problema de corrupción de memoria de red en el entorno virtualizado de Docker Desktop. Este cambio se announced el 26 de octubre de 2026 y representa una actualización relevante de seguridad para entornos de desarrollo y operaciones.

Actualizar el software corrige el riesgo para nuevas ejecuciones, pero no elimina por sí solo la información sensible que Docker advierte que podría permanecer en archivos de diagnóstico creados anteriormente. Por eso, la medida recomendada incluye actualizar Docker Desktop y revisar los archivos locales conectados con las herramientas y servicios que utiliza el equipo.

¿Qué vulnerabilidad corrigió Docker Desktop 4.97.0?

El principal cambio de seguridad corresponde a CVE-2026-114409. Según la información publicada por Docker, el problema podía hacer que ciertas credenciales de servicios externos terminaran en archivos de diagnóstico o registros locales sin la protección adecuada.

Este tipo de hallazgo importa especialmente en equipos que trabajan con proveedores de IA, plataformas en la nube, servicios de pago o APIs privadas. Aunque una clave o token no sea Visible en la interfaz de Docker Desktop, puede quedar incorporada en archivos que luego se comparten para soporte técnico, análisis de errores o supervisar investigation de incidencias.

La versión 4.97.0 también corrige CVE-2026-99999, relacionada con corrupción de memoria de red en el entorno virtualizado. Docker no presenta este segundo punto como el mismo problema de credenciales, aunque ambos se resuelven dentro de la misma actualización.

Qué significa para los equipos de desarrollo

La actualización debe considerarse prioritaria cuando Docker Desktop se utiliza en:

• Equipos que acceden a APIs de terceros mediante claves o tokens.

• Entornos que generan archivos de diagnóstico para soporte o debugging.

• Portátiles y estaciones de trabajo que almacenan secretos en cuentas, repositorios o herramientas de desarrollo.

• Organizaciones con políticas estrictas sobre gestión de secretos y datos sensibles.

La exposición ocurre en un contexto local, pero los archivos de diagnóstico pueden salir del equipo con facilidad. Un correo de soporte, una captura de pantalla, un reporte de errores o una copia de seguridad pueden ampliar el alcance del incidente.

¿Debo eliminar los archivos de diagnóstico después de actualizar?

Sí. Docker advierte que algunos archivos de diagnóstico generados antes de la actualización podrían conservar información sensible incluso después de instalar Docker Desktop 4.97.0. La actualización evita que el problema se repita, pero no garantiza la eliminación retroactiva de datos previamente guardados.

El siguiente paso concreto es actualizar Docker Desktop a la versión 4.97.0 o posterior y revisar los archivos de diagnóstico existentes. Si estos archivos se enviaron a terceros o se almacenaron en una plataforma de seguimiento de errores, conviene revisar también esos destinos.

Acciones recomendadas

1. Instala Docker Desktop 4.97.0 o una versión posterior disponible.

2. Localiza los archivos de diagnóstico y logs generados en el equipo antes de la actualización.

3. Elimina los que ya no sean necesarios y conserva solo los indispensablemente alineados con las políticas internas.

4. Revisa si esos archivos fueron compartidos con proveedores, colegas o plataformas externas.

5. Si una clave API o un token OAuth pudo quedar expuesto, rotarlo desde el proveedor correspondiente y revisar su uso reciente.

Antes de borrar un archivo, conviene confirmar si contiene evidencia técnica necesaria para una investigación. Una alternativa segura es reemplazarlo por una copia saneada, en la que se eliminen credenciales, variables de entorno sensibles y valores de conexión.

Cómo prevenir que claves API y tokens OAuth terminen en logs

La corrección de Docker Desktop es importante, pero las organizaciones también necesitan reducir la probabilidad de que un secreto termine en un archivo de diagnóstico. La medida más efectiva consiste en mantener las credenciales fuera de los comandos, configuraciones y archivos que las herramientas puedan incluir en sus reportes.

Some prácticas útiles son:

• Usar un gestor de secretos o el mecanismo de credenciales del propio Docker, en lugar de escribir tokens directamente en archivos de configuración.

• Limitar quién puede leer los directorios de logs, diagnósticos y archivos temporales.

• Evitar adjuntar reportes sin revisarlos previamente.

• Configurar la exclusión de secretos en herramientas de diagnóstico y plataformas de seguimiento de errores.

• Rotar credenciales de forma regularly cuando se comparta un reporte o exista una sospecha de exposición.

También es recomendable comprobar los registros de acceso del proveedor. Si un token fue copiado en texto plano y quedó en un archivo local, el riesgo principal no siempre es que otra persona lo lea en ese equipo, sino que el archivo se comparta o se sincronice sin controles.

La actualización de Docker Desktop en distintos sistemas

Docker Desktop está disponible para diferentes sistemas operativos. La versión corregida debe instalarse mediante el canal habitual de actualización de cada plataforma. Las siguientes indicaciones son de referencia; la configuración final depende de la edición y el método de instalación utilizado.

winget upgrade --id Docker.DockerDesktop

sudo apt update
sudo apt install docker-desktop

Claves API y tokens OAuth: qué debe saber el equipo

Una clave API es una credencial que permite invocar o autenticar solicitudes hacia un servicio. Un token OAuth representa una autorización temporal o asociada a una identidad y a permisos concretos.

Cuando estas credenciales quedan en texto plano en un log o archivo de diagnóstico, las acciones habituales de los usuarios pueden convertirlas en un riesgo:

• Un reporte se envía a soporte técnico sin una revisión previa.

• El archivo se copia a un repositorio, drive compartido o sistema de tickets.

• Una herramienta de análisis recopila logs y los almacena en una plataforma externa.

• El equipo de seguridad no sabe que el token debe ser revocado.

Por ello, la rotación de una credencial expuesta debe realizarse desde el proveedor de la API. Después, se deben revisar los registros de actividad para detectar usos que el equipo no reconozca. Eliminar el archivo local ayuda, pero no invalida un token que ya haya sido copiado o compartido.

Conclusión: actualiza, revisa y rota lo que corresponda

La publicación de Docker Desktop 4.97.0 corrige CVE-2026-114409 y también incorpora una solución para CVE-2026-99999. La prioridad para los equipos es sencilla: actualizar Docker Desktop, revisar los diagnósticos anteriores y rotar cualquier clave API o token OAuth que haya podido quedar expuesto.

Además, conviene adoptar una regla simple para futuros reportes: ningún archivo de diagnóstico debería salir del equipo sin una revisión de secretos. En entornos corporativos, esa revisión puede apoyarse en listas de exclusión, permisos restringidos y procesos automatizados de sanitización.