Docker e ActiveState fecham parceria para proteger imagens e dependências open source em containers corporativos

A parceria de revenda entre Docker e ActiveState ataca um problema que a própria pesquisa citada no anúncio deixa claro: ter uma imagem base hardened não resolve o que vem por cima. Em levantamento com 250 líderes de DevSecOps da América do Norte, 91% apontaram a visibilidade dos componentes do container como maior ponto cego, e 90% disseram que ainda rodam imagens públicas levemente modificadas, com pouco ou nenhum hardening.

O desenho é de duas camadas. Os Docker Hardened Images (DHI) cuidam da base: mais de 4.000 imagens construídas a partir do código-fonte, quase zero CVEs, SBOMs assinados e proveniência SLSA Build Level 3. O catálogo é gratuito e open source sob Apache 2.0, e as camadas de produção têm SLA de 7 dias para CVEs críticas e de alta severidade. A ActiveState cuida das dependências: componentes curados de mais de uma dúzia de ecossistemas (Python, JavaScript, Java, Perl, Tcl e Ruby), construídos a partir do código-fonte e entregues via gerenciadores de pacotes, pipelines, IDEs e ferramentas de código com IA. Segundo o anúncio, são 95% menos CVEs e remediação 90% mais rápida que o open source da comunidade, com SLA de 5 dias para vulnerabilidades críticas. Esses números são das empresas.

Em 11 de fevereiro de 2026, o CEVIU noticiou "Docker Libera Imagens Reforçadas Gratuitamente: E Agora?", quando o DHI passou a ser gratuito com mais de 1.000 imagens. O anúncio de agora fala em mais de 4.000 imagens. Em 18 de agosto de 2026, o CEVIU publicou "Docker eleva segurança da cadeia de suprimentos com imagens livres de CVEs", sobre a expansão do catálogo Hardened Images. A novidade de outubro é que o foco sai só da imagem base e chega às dependências, por meio da parceria com a ActiveState.

Para quem opera pipelines e plataformas, a leitura é que o ganho do hardening na base se perde se as dependências continuarem vindo de fontes sem SLA. Ter base e pacotes sob SLAs e proveniência SLSA Build Level 3 pode simplificar auditoria, inclusive diante de exigências como o EU Cyber Resilience Act. Por ser revenda, vale checar contrato, cobertura de linguagens e como isso se encaixa no seu gerenciador de pacotes antes de migrar.