gvisor-tap-vsock 提供的 gvproxy 在 0.9.0 之前，未认证接口 /services/forwarder/expose 不校验调用方给出的套接字路径，可删除宿主机上的任意文件（CVE-2026-107935，CVSS 9.3）。影响 Podman machine、CRC 以及使用 gvproxy 的容器网络栈。请把该组件升到 0.9.0 或更高。
Podman 从 v4.4.0 起，只要镜像带有检查点注解 io.podman.annotations.checkpoint.runtime.name，podman run 就会忽略命令行上的隔离参数，改用镜像自带配置（CVE-2026-94603，CVSS 10.0）。请升级到 v5.8.8 或 v6.1.3。官方容器镜像在 Quay，当前较新标签 v5.8.7 仍低于修复版。
docker pull 超时、镜像拉取失败时，先别急着换一堆来路不明的地址。这篇整理的是 2026 年 10 月还能用的国内 Docker 镜像加速写法，高校、实验室、公司研发机都可以照着配。拉 Docker Hub、ghcr.io、GCR、registry.k8s.io 时，常见是慢、超时，或者碰上 401 / 429 / manifest unknown。很多时候不是「源挂了」，而是配错了地方：daemon.json 里的 registry-mirrors 主要管 docker.io；Kubernetes 节点用的是 containerd，不会读你笔记本 Docker Desktop 里的加速配置。
云厂商提供的内网 mirror（腾讯云、阿里云、华为云等）在同云 ECS 上往往够用，但换到另一家云、本地电脑、CI Runner、NAS 就不生效；跨环境、要拉多仓库时，更稳妥的做法是注册 轩辕镜像专业版，拿到个人中心的专属域名（形如 xxx.xuanyuan.run），在 Docker、containerd、NAS 上统一配置。流量按需在 充值中心 购买：新人使用仅 ¥2.9 起，50GB 仅需 ¥8 。
共 4 篇文章
