把 Dockerfile 的 RUN、shell、apt-get 一次拆掉：apko + melange + Wolfi 為什麼在 2026 開始搶容器映像檔建置的話語權
Chainguard 把容器映像檔建置流程整條改寫——apko 直接從 APK 套件組出 OCI，沒有 Dockerfile、沒有 RUN、沒有 shell。搭...
# 容器安全
5 篇文章
沒設定 Open vSwitch 也擋不下：CVE-2026-64531 OVSwrap 用一個 16 位元 nla_len 回捲把 13 年前的邏輯洞燒回主線，一般帳號 unshare 一下就拿到 host root
2026 年 7 月 28 日公開的 CVE-2026-64531（OVSwrap）不需要 Open vSwitch 被使用、不需要 CAP_NET_ADMIN...
藏在 Linux futex 15 年的 PI 洞：CVE-2026-43499 GhostLock 讓本地帳號 5 秒拿到 root
GhostLock（CVE-2026-43499）是 rt_mutex 的 use-after-free，2011 年寫進 2.6.39、直到 Linux 7....
一段 2017 年寫下的 crypto 優化程式碼，讓 4 個位元組就從容器逃到宿主：CVE-2026-31431 Copy Fail 該怎麼修
Linux kernel 的 algif_aead 有一條九年前寫下的 splice 優化路徑，讓非特權使用者能對 page cache 做出可控寫入。CVE-...
auditd 太吵、Falco 太重：Tetragon 用 eBPF 把容器執行期安全的攔截點搬進核心
容器跑起來之後內部發生什麼事，傳統工具看不到，看到也來不及。Tetragon 用 eBPF 把可疑系統呼叫的偵測與阻擋都搬進 Linux 核心，1.7 版在 4...