Docker: qué cambia para quien se autoaloja

Resumen

Si autoalojas servicios con Docker, las notas de versión de la serie 29 traen sobre todo correcciones de seguridad y algunos cambios de comportamiento que conviene revisar antes de actualizar. Según las notas de versión de Docker Engine consultadas el 2026-10-17, la última versión listada es la 29.9.1 (2026-10-14). Este estado se refiere a esas notas y puede haber cambiado desde entonces.

Qué ha cambiado

Seguridad

29.9.1 (2026-10-14): actualiza containerd a v2.4.2. Esa versión corrige CVE-2026-95839 (caída de containerd al hacer pull o import con un descriptor hijo con anotación io.containerd.manifest.subject y digest malformado), GHSA-8647-2jxj-p2rc (registro no confiable con Content-Length manipulado) y GHSA-hc94-p972-ch66 (agotamiento de disco por capas sin límite de tamaño declarado).
29.9.0 (2026-10-08): actualiza el runtime de Go y corrige cinco CVE (cuatro de HTTP/2 que podían tumbar el daemon o agotar memoria y CPU, y uno de Windows). También actualiza BuildKit a v0.34.0 y containerd a v2.4.1.
29.8.2 (2026-09-30): corrige CVE-2026-53493 (índice OCI manipulado con consumo ilimitado de CPU y memoria), CVE-2026-92543 (respuesta DNS maliciosa que podía omitir la verificación TLS del registro o degradar a HTTP) y CVE-2026-92542 (tramas Ethernet falsificadas en redes overlay cifradas de Swarm). Corrige además varios CVE de BuildKit (CVE-2026-93315 a CVE-2026-93323 y CVE-2026-93326).

Redes

En 29.9.0 se corrige un fallo en redes overlay cifradas. Ante errores al programar el kernel, parte del tráfico hacia algunos nodos podía enviarse en claro. La pérdida de confidencialidad se limita a flujos unidireccionales (por ejemplo, consultas DNS UDP) e intentos de handshake que no prosiguen.
También en 29.9.0, los puertos publicados de servicios Swarm pasan a ser accesibles en las direcciones IPv6 del host con el proxy de usuario habilitado. Una modificación de v29.8.0 lo habilitó de forma incidental y desde 29.9.0 es una función probada y soportada.

Otros cambios de comportamiento

En 29.8.0 se añade la opción --umask en docker create y docker run, se reservan los nombres de red container y container:, y el mínimo de Go del SDK pasa a 1.26.
En 29.7.0 empezaron a respetarse los límites de descargas y subidas concurrentes con el almacén de imágenes containerd. Para conservar el comportamiento previo sin límite hay que configurar max-concurrent-downloads y max-concurrent-uploads a 0. Esa versión introdujo además regresiones en pulls, corregidas en 29.7.1 y 29.7.2.

Docker Desktop

Docker Desktop 4.94.0 (2026-10-05) incluye Docker Engine v29.8.2 y cambia el driver de logging por defecto de los contenedores Linux nuevos a local, que rota los logs automáticamente. Docker Desktop 4.95.0 (2026-10-12) es la última versión listada en las notas consultadas el 2026-10-17. El Engine que trae Desktop no tiene por qué coincidir con el último Engine publicado.

Qué comprobar en tu homelab

Según la documentación

Origen del paquete: los paquetes de los repositorios de cada distribución los mantienen los empaquetadores de la distro y pueden diferir en configuración o código. Docker ofrece además binarios estáticos para instalación manual. Comprueba de dónde viene tu instalación para saber qué versión puedes obtener.
Compatibilidad de parches: la documentación de instalación indica que los parches son siempre retrocompatibles con su versión mayor y menor. También indica que existen los canales stable y test, y que el test incluye funciones experimentales sujetas a cambios incompatibles.
Soporte: Docker no ofrece soporte para Docker Engine como tal, que es un proyecto open source respaldado por Moby.
Exposición de la API: según la guía de seguridad, exponer la API del daemon por HTTP sin TLS no está permitido y hace que el daemon falle al arrancar. Se recomienda TLS o SSH (DOCKER_HOST=ssh://) y que el daemon solo sea alcanzable desde una red de confianza o VPN.
Límites de concurrencia: si usas el almacén de imágenes containerd y dependías de descargas sin límite, revisa max-concurrent-downloads y max-concurrent-uploads.
Swarm e IPv6: si usas Swarm, revisa qué puertos publicados quedan accesibles por IPv6.
Logs en Desktop: si usas Docker Desktop, ten en cuenta el nuevo driver de logging por defecto en contenedores nuevos.

Recomendaciones generales

Son consejos propios, no afirmaciones de las fuentes:

Haz copia de seguridad de volúmenes y de los ficheros Compose antes de actualizar.
Anota la versión actual para poder volver atrás.
Actualiza primero un servicio o nodo poco crítico.
Revisa los logs tras el cambio.

Lo que las fuentes no aclaran

Las fuentes consultadas no detallan los pasos de actualización por distribución ni los cambios de ruptura entre series. Tampoco indican la versión mínima recomendada de partida ni la política de soporte de ramas anteriores. Consulta las notas oficiales completas antes de actualizar.