Traducido del inglés por TechUpscale con ayuda de IA y verificado con el original. Leer el original en inglés
La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) añadió CVE-2026-102895, una vulnerabilidad de autenticación incorrecta en GPUStack, a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 9 de noviembre de 2026. La CISA añade una falla al catálogo cuando cuenta con evidencia fiable de que los atacantes la están explotando activamente.
Lo que dice la CISA
GPUStack contiene una vulnerabilidad de autenticación incorrecta que podría permitir el acceso administrativo sin autenticar, incluidos cambios de usuarios y modelos, la creación persistente de claves de API de administrador, la divulgación de secretos de trabajadores y proveedores en la nube, y la ejecución de código a través de POST /v2/inference-backends/from-yaml.
— Entrada del catálogo KEV de la CISA para CVE-2026-102895
Datos clave
| CVE | CVE-2026-102895 |
|---|---|
| Proveedor / producto | GPUStack |
| Añadido a KEV | 9 de noviembre de 2026 |
| Fecha límite federal | 12 de noviembre de 2026 |
| Uso de ransomware conocido | Desconocido |
| Debilidad (CWE) | CWE-287, CWE-290, CWE-346 |
| Triaje forense de la CISA | Sí |
| Puntuación base CVSS (NVD) | 9.8 Crítica |
| Vector CVSS | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Quién debe actuar y cuándo
Las agencias de la rama ejecutiva civil federal de EE. UU. deben solucionar la vulnerabilidad antes del 12 de noviembre de 2026. La CISA insta a todas las organizaciones a priorizar las fallas listadas en KEV como parte de su gestión de vulnerabilidades.
Acción requerida por la CISA para esta entrada:
Aplique mitigaciones de acuerdo con las instrucciones del proveedor, garantizando el cumplimiento de la directiva BOD 26-04 de la CISA sobre la priorización de actualizaciones de seguridad basadas en riesgos (consulte la URL en Notas) y los “Requisitos de triaje forense” de la CISA (consulte la URL en Notas). Siga la orientación aplicable de la BOD 26-04 para servicios en la nube o suspenda el uso del producto si las mitigaciones no están disponibles. Las partes interesadas son responsables de evaluar la exposición a internet de cada activo y garantizar el cumplimiento de las directrices de parcheo de la BOD 26-04.
Referencias
- Catálogo de vulnerabilidades explotadas conocidas de la CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-102895 https://nvd.nist.gov/vuln/detail/CVE-2026-102895
- github.com https://github.com/gpustack/gpustack/security/advisories/GHSA-gj9m-f8ph-pmhr
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk