containerd社区披露了其CRI（Container Runtime Interface）和镜像处理组件中的5个安全漏洞，包括CVE-2026-50195、CVE-2026-53488、CVE-2026-53492、CVE-2026-53489、CVE-2026-47262。
漏洞影响
CVE-2026-50195（严重）：containerd的CRI检查点（checkpoint）导入流程未能验证镜像引用。具有创建Pod权限的攻击者可以利用特殊构造的检查点镜像来污染节点本地的镜像缓存，导致其他使用IfNotPresent拉取策略的Pod执行恶意代码。
CVE-2026-53488（严重）：CRI插件在未经验证的情况下将镜像配置中的标签传播到容器。这可能导致在宿主机上执行任意命令。此问题不需要启用检查点/恢复（checkpoint/restore）。
CVE-2026-53492（严重）：在容器恢复（restore）过程中，containerd的CRI实现不当信任了不可信检查点镜像元数据中的容器设备接口（CDI）注解，从而允许设备和主机挂载注入绕过Kubernetes设备强制执行。在未启用CDI或缺少敏感设备规范的环境中，不受此漏洞影响。
CVE-2026-53489（高危）：在检查点恢复（restore）期间未验证符号链接的容器日志路径，从而允许读取任意主机文件。此问题需要启用检查点/恢复（checkpoint/restore）。
CVE-2026-47262（中危）：允许恶意构造的镜像导致containerd进程内存耗尽（DoS），以及受影响节点上的所有容器拒绝服务。
影响范围
下列containerd版本均在漏洞影响范围内：
| 社区在下列版本中修复了该问题：
|
当前，使用containerd运行时的ACK集群均在漏洞影响范围内。ACK提供的已修复漏洞的 containerd 版本如下：
containerd v2.1.9
其中，Kubernetes 版本 >= v1.33才可以使用containerd v2.1.9。对于低版本集群，需要先升级集群到v1.33及以上。具体升级方式，可根据集群类型自行选择，详见参考链接。
解决方案
修复方案
参见containerd运行时发布记录，尽快升级集群运行时至已修复版本。具体操作及注意事项，请参见升级节点池。
升级节点池会导致节点上的Pod被驱逐和重新调度，请确保业务已配置适当的PodDisruptionBudget（PDB），并建议在业务低峰期执行升级操作。
临时方案
在修复版本发布之前或升级期间，建议您采取以下缓解措施降低风险：
严格限制Pod创建权限：所有5个漏洞的利用前提均需要攻击者在集群内具备创建Pod的权限。请通过Kubernetes RBAC确保仅受信任的用户和服务账号拥有
create pods权限。强制使用Always镜像拉取策略：针对CVE-2026-50195（缓存投毒），建议将关键工作负载的
imagePullPolicy设置为Always，避免使用IfNotPresent或Never，同时通过如下措施限制从受信任的镜像仓库拉取镜像。通过启用安全策略管理中的ACKAllowedRepos策略，限制集群只允许使用来自可信镜像仓库的镜像。同时，基于最小化权限原则确保仅可信人员拥有导入镜像的权限。
通过使用Notation和Ratify进行OCI制品的加签和验签，确保容器镜像的供应链安全。
限制检查点恢复功能：CVE-2026-50195、CVE-2026-53492、CVE-2026-53489均与容器检查点恢复相关。如果您的业务场景不需要使用Kubernetes检查点功能（Checkpoint/Restore），建议禁用或限制该功能的使用。