Docker-Sicherheit im April: Neue Bedrohungen und Werkzeuge

Der April 2026 war ein ereignisreicher Monat für die Docker-Community. Von hochkarätigen Konferenzen in Köln bis zu neuen Sicherheitswerkzeugen in Zürich: Die Entwicklerwelt hat sich intensiv mit der Absicherung von Containern und Supply Chains beschäftigt. Zwei Vorfälle dominierten die Diskussionen und zeigten einmal mehr, wie schnell sich Gefahren im Ökosystem entwickeln können.

Kritische Sicherheitslücken: Was Entwickler jetzt tun müssen

Die größte Schlagzeile im Docker-Sicherheitskalender war die Offenlegung von CVE-2026-34040. Diese Schwachstelle betrifft Docker Engine-Versionen vor 29.3.1 und ermöglicht einen Authentifizierungs-Bypass, wenn API-Anfragen einen Body von mehr als 1 MB enthalten. Die Folge: Angreifer könnten unbefugten Zugriff auf Container erlangen, ohne gültige Berechtigungen vorzuweisen.

Die Lösung ist denkbar einfach: Ein Update auf Docker Engine 29.4.2 oder Docker Desktop 4.71.0 ist zwingend erforderlich. Wer diese Versionen noch nicht einsetzt, sollte den Vorgang umgehend priorisieren, da die Lücke bereits aktiv ausgenutzt wurde.

Parallel dazu sorgte ein neuer Supply-Chain-Angriff für Besorgnis: Mini Shai-Hulud. Dieser autonome NPM-Wurm, der am 29. April 2026 auftauchte, zielte gezielt auf das SAP-Cloud-Ökosystem ab. Besonders betroffen waren Pakete wie @cap-js/sqlite und @cap-js/postgres, die mit schädlichen Hooks präpariert wurden. Der Angriff nutzte den Bun Runtime, um Sicherheitsmechanismen in Node.js-basierten Tools zu umgehen, und installierte einen 11,7 MB großen Passwort-Dieb.

Noch besorgniserregender: Der Wurm legte in Entwicklungsumgebungen wie VS Code persistente Hooks an, etwa in .vscode/tasks.json, um bei jedem Öffnen eines Projektordners aktiv zu werden. Docker Sandboxes (Beta) könnten hier Abhilfe schaffen, indem sie Entwicklungsumgebungen in isolierten MicroVMs ausführen.

sbx run claude

Praxisnahes Lernen: JCON Europe 2026 und Java-Sicherheit

Auf der JCON Europe 2026 in Köln präsentierte das Docker-Sicherheitsteam einen Workshop mit dem Titel „Java Supply Chain Security mit Docker“. Die Session richtete sich speziell an Java-Entwickler und zeigte, wie Docker-Tools genutzt werden können, um Supply-Chain-Angriffe zu erkennen und abzuwehren.

Teilnehmer erhielten Zugang zu einem Docker Labspace, einer interaktiven Umgebung für praktische Übungen. Alternativ ließ sich die Demo auch lokal starten:

docker compose -f oci://docker.io/aerabi/docker-commandos-labspace up -d

Der Workshop deckte Themen wie SBOMs (Software Bill of Materials), Attestierungen und die Integration von Sicherheitschecks in Java-Projekte ab.

Expertenstimmen: Baruch Sadogursky zur Container-Sicherheit

Während der Konferenz führte das Team ein Interview mit Baruch Sadogursky, einer bekannten Stimme in der Java- und Container-Community. Im Gespräch mit Tessl und JAVAPRO diskutierte er aktuelle Trends in der Container-Sicherheit und wie Entwickler Supply-Chain-Angriffe frühzeitig erkennen können. Ein zentraler Punkt war die Bedeutung von Transparenz in Abhängigkeiten – eine Lehre, die sich aus den Angriffen der Vergangenheit ableiten lässt.

Kreativ und lehrreich: „The Whispering JAR“ von JAVAPRO

Gleichzeitig veröffentlichte Sadogursky einen Artikel in JAVAPRO mit dem Titel „The Whispering JAR: Java-Sicherheitslehren in einer Fantasy-Geschichte“. Das Werk verbindet eine fiktive Erzählung mit realen Sicherheitsvorfällen der letzten Jahre, darunter:

• Der NPM-Supply-Chain-Angriff aus September 2025
• Die Shai-Hulud-Angriffe (1 und 2) Ende 2025
• React2Shell, eine kritische Remote-Code-Execution-Lücke in React-Projekten Ende 2025

Die Geschichte dient als Metapher für die oft unsichtbaren Risiken in der Softwareentwicklung und zeigt, wie Angreifer gezielt Schwachstellen in Abhängigkeiten ausnutzen.

Neue Plattformen für Java-Entwickler: Foojay.io

Der Monat April markierte auch den Einstieg des Autors bei Foojay.io, der Community-Plattform rund um OpenJDK. In seinem ersten Artikel „Dockerizing a Java 26 Project with Docker Init“ erklärt er, wie Entwickler ein Java 26 Spring Boot-Projekt mit Docker Init erstellen und konfigurieren können. Docker Init, ein neues Tool, automatisiert viele Schritte und spart wertvolle Entwicklungszeit.

Podcast-Einblick: Die Mühen hinter einem Tech-Buch

Im JobRad-Podcast „Increase Cycle Time“ sprach der Autor mit Holger Grosse-Plankermann und Urs Lange über die Herausforderungen beim Schreiben eines Tech-Buchs. Das Gespräch deckte nicht nur Inhalte ab, sondern beleuchtete auch die organisatorischen Aspekte: Wie bleibt man motiviert? Welche Tools helfen bei der Recherche? Und wie navigiert man durch die schnelllebige Welt der Container-Technologie?

Für alle, die selbst ein Buchprojekt planen, gab er praktische Tipps – etwa die Bedeutung eines klaren Ziels und die Wahl des richtigen Publikums.

Fazit: Docker-Sicherheit als Daueraufgabe

Der April 2026 hat gezeigt: Docker-Sicherheit ist kein statisches Thema. Neue Angriffsvektoren wie Mini Shai-Hulud und kritische Lücken wie CVE-2026-34040 erfordern ständige Aufmerksamkeit. Gleichzeitig bieten Tools wie Docker Sandboxes und Workshops wie auf der JCON Europe praktische Lösungen für Entwickler.

Die kommenden Monate werden zeigen, ob die Community aus diesen Vorfällen lernt. Ein Trend ist jedoch klar: Transparenz, Isolation und proaktive Sicherheitsmaßnahmen werden in der Container-Welt immer wichtiger. Wer diese Prinzipien frühzeitig verinnerlicht, ist besser auf die nächsten Herausforderungen vorbereitet.