CVE-2026-86002 : exécution de commandes arbitraires via Dokku

Veille sécuritéCloud & DevOps

P3Critique

Dans Dokku avant 0.38.25, un utilisateur disposant d’un accès au niveau d’une application et d’un accès SSH permettant d’exécuter les commandes `docker-options` peut faire exécuter des commandes arbitraires sur l’hôte, avec les privilèges du compte système Dokku. La cause est la concaténation de valeurs contrôlées dans `DOCKER_ARGS`, ensuite évaluées par Bash lors d’opérations de build, déploiement ou exécution; mettez Dokku à jour vers la version 0.38.25 ou ultérieure.

IdentifiantCVE-2026-86002

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.38.25

Source : NVD — CVE-2026-86002

Analyse technique

Les chaînes enregistrées via le plugin docker-options sont intégrées à DOCKER_ARGS puis traitées par Bash eval; les substitutions de commandes peuvent ainsi s’exécuter sur l’hôte sous l’identité système Dokku.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14T16:17:54.470Z et une mise à jour le 2026-10-14T18:19:17.510Z, toutes deux dans la période. La modification est substantielle : elle documente une vulnérabilité d’exécution de commandes et sa version corrective.

ImpactUn utilisateur disposant des accès Dokku et SSH décrits peut exécuter des commandes arbitraires sur l’hôte avec les privilèges du compte système Dokku.

Versions affectéesVersions de Dokku antérieures à 0.38.25

Version corrigée0.38.25

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9

Publication2026-10-14T16:17:54.470Z

Mise à jour2026-10-14T18:19:17.510Z

Action recommandée

Mettre à jour Dokku vers la version 0.38.25 ou ultérieure.

Sources

NVD — CVE-2026-86002

Priorisation DFS : P3 · 1 source(s).