20 октября 2026 года вышел Docker Engine 29.9.2. В примечаниях к выпуску указано обновление Go runtime, которое отклоняет цепочки с восемью отозванными промежуточными сертификатами eMudhra. Для команд, работающих с реестрами образов, это может проявиться при pull и push. На Mentoring.digital объясняем границу изменения.
Почему операция с образом может завершиться ошибкой
Если цепочка TLS-сертификата реестра опирается на затронутый промежуточный сертификат, проверка завершится отказом. Разработчики Docker прямо указывают необходимость заменить такую цепочку. Само изменение не означает повреждение образа или ошибку Dockerfile.
Это продолжение ранее освещённой проблемы доверия, но отдельный выпуск конкретного инструмента. Вчерашняя новость об обновлении Go не подтверждала автоматически, какая версия Docker включает соответствующее изменение. Теперь есть отдельная запись Docker Engine с датой и версией.
Что собрать для диагностики
Зафиксируйте версию Engine, адрес реестра и полный безопасный текст TLS-ошибки. Установите, на каком этапе прервалась операция. Не публикуйте токены доступа и приватные сведения реестра. Затем проверьте фактическую цепочку сертификатов вместе с ответственным за её обслуживание.
Редакционный вывод: отключение проверки TLS не является исправлением цепочки доверия. Если проблема действительно связана с указанными промежуточными сертификатами, действие относится к сертификату реестра, а не к переписыванию приложения внутри образа.
Как проверить результат изменения
После согласованной замены цепочки повторите необходимый сценарий в своей разрешённой среде. Различайте успешное соединение, загрузку нужного образа и работоспособность приложения: это разные проверки. Мы не запускали обновление на инфраструктуре читателей и не утверждаем, что все реестры затронуты.
Для разбора серверного контура и причин ошибок можно выбрать ментора по Backend. Начинать стоит с конкретного сообщения об отказе и фактической конфигурации, а не с предположения, что любой неудачный pull вызван этим обновлением.
