Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
L’Agence américaine chargée de la cybersécurité et de la sécurité des infrastructures (CISA) a ajouté CVE-2026-102895, une vulnérabilité d’authentification incorrecte dans GPUStack, à son catalogue des vulnérabilités exploitées connues (KEV) le 9 novembre 2026. La CISA intègre une faille à ce catalogue lorsqu’elle dispose de preuves fiables indiquant que des attaquants l’exploitent activement.
Ce que déclare la CISA
GPUStack contient une vulnérabilité d’authentification incorrecte qui pourrait permettre un accès administratif non authentifié, incluant des modifications d’utilisateurs et de modèles, la création persistante de clés d’API administrateur, la divulgation de secrets de travailleurs et de fournisseurs de cloud, ainsi que l’exécution de code via POST /v2/inference-backends/from-yaml.
— Entrée du catalogue KEV de la CISA pour CVE-2026-102895
Faits clés
| CVE | CVE-2026-102895 |
|---|---|
| Fournisseur / produit | GPUStack |
| Ajout au KEV | 9 novembre 2026 |
| Date limite fédérale | 12 novembre 2026 |
| Utilisation connue de ransomware | Inconnue |
| Faiblesse (CWE) | CWE-287, CWE-290, CWE-346 |
| Triage forensique de la CISA | Oui |
| Score de base CVSS (NVD) | 9.8 Critique |
| Vecteur CVSS | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Qui doit agir et dans quel délai
Les agences civiles de l’exécutif fédéral américain sont tenues de corriger la vulnérabilité d’ici le 12 novembre 2026. La CISA exhorte toutes les organisations à donner la priorité aux failles répertoriées dans le KEV dans le cadre de leur gestion des vulnérabilités.
Action requise par la CISA pour cette entrée :
Appliquer les atténuations conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA intitulée Prioritizing Security Updates Based on Risk (voir l’URL dans les notes) et les exigences de triage forensique de la CISA (« Forensics Triage Requirements », voir l’URL dans les notes). Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de veiller au respect des directives de correctifs de la BOD 26-04.
Références
- CISA Known Exploited Vulnerabilities Catalog https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-102895 https://nvd.nist.gov/vuln/detail/CVE-2026-102895
- github.com https://github.com/gpustack/gpustack/security/advisories/GHSA-gj9m-f8ph-pmhr
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk