Edgeless Contrast 1.8.0 至 1.24.1 之前有两处高危：Coordinator 对等恢复不核对对端 manifest generation，可重放已撤销的 history head（CVE-2026-109359，CVSS 7.7）；node installer 把宿主机 containerd 配置写成 0666，本地低权限用户可改配置并提权（CVE-2026-109358，CVSS 7.8）。请升级到 1.24.1 或更高，并手动收紧已经写成 0666 的配置文件。
containerd 在 2.1.0 至低于 2.2.7，以及 2.3.0 至低于 2.3.4，经 CRI CreateContainer 从检查点恢复容器时，会按检查点里的 UID、capabilities、no_new_privs 和 seccomp 恢复，而不是编排器下发的配置（CVE-2026-95837，CVSS 7.8）。仅影响启用了 CRI 检查点恢复的 Linux 节点。请升级到 2.2.7 或 2.3.4，并保持 enable_experimental_restore_via_create 关闭。
Linux 上启用 CRI 的 containerd，ExecSync（exec 探针、生命周期钩子）若拉起长驻后台子进程，stdio 排空协程可能永久阻塞并泄漏内存，最终可能被 OOM 杀掉 containerd。影响 1.x / 2.0 / 2.2 / 2.3 未修复分支，请升级至 1.7.35、2.0.12、2.2.8、2.3.5。
docker pull 超时、镜像拉取失败时，先别急着换一堆来路不明的地址。这篇整理的是 2026 年 10 月还能用的国内 Docker 镜像加速写法，高校、实验室、公司研发机都可以照着配。拉 Docker Hub、ghcr.io、GCR、registry.k8s.io 时，常见是慢、超时，或者碰上 401 / 429 / manifest unknown。很多时候不是「源挂了」，而是配错了地方：daemon.json 里的 registry-mirrors 主要管 docker.io；Kubernetes 节点用的是 containerd，不会读你笔记本 Docker Desktop 里的加速配置。
云厂商提供的内网 mirror（腾讯云、阿里云、华为云等）在同云 ECS 上往往够用，但换到另一家云、本地电脑、CI Runner、NAS 就不生效；跨环境、要拉多仓库时，更稳妥的做法是注册 轩辕镜像专业版，拿到个人中心的专属域名（形如 xxx.xuanyuan.run），在 Docker、containerd、NAS 上统一配置。流量按需在 充值中心 购买：新人使用仅 ¥2.9 起，50GB 仅需 ¥8 。
本文面向国内开发者、运维与科研用户，汇总 2026 年 7 月可用的 Docker 镜像加速方案，并按「报错 → 原因 → 配置 → 验证」给出排错路径，覆盖 Docker、K8s containerd、Podman、nerdctl、NAS 等场景。
containerd 是云原生生态中广泛使用的行业标准容器运行时，常作为 Kubernetes 节点的 CRI（Container Runtime Interface）组件。经 containerd 官方确认，其 CRI 插件存在标签信任边界缺陷：CRI 会将镜像配置（Dockerfile LABEL 指令）中的标签直接传播为容器标签，且 未做有效校验。攻击者可通过构造恶意镜像，注入 containerd.io/ 或 io.cri-containerd 等保留命名空间标签。
共 7 篇文章
