Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
A Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA) adicionou a CVE-2026-102895, uma vulnerabilidade de autenticação inadequada no GPUStack, ao seu catálogo de vulnerabilidades conhecidas exploradas (KEV) em 9 de novembro de 2026. A CISA adiciona uma falha ao catálogo quando obtém evidências confiáveis de que invasores a estão explorando ativamente em ambientes reais.
O que diz a CISA
O GPUStack contém uma vulnerabilidade de autenticação inadequada que pode permitir acesso administrativo sem autenticação, incluindo alterações de utilizadores e modelos, criação persistente de chaves de API de administrador, divulgação de segredos de trabalhadores e de fornecedores de nuvem, e execução de código através de POST /v2/inference-backends/from-yaml.
— Entrada do catálogo KEV da CISA para CVE-2026-102895
Principais factos
| CVE | CVE-2026-102895 |
|---|---|
| Fornecedor / produto | GPUStack |
| Adicionado ao KEV | 9 de novembro de 2026 |
| Prazo federal | 12 de novembro de 2026 |
| Uso de ransomware conhecido | Desconhecido |
| Fraqueza (CWE) | CWE-287, CWE-290, CWE-346 |
| Triagem forense da CISA | Sim |
| Pontuação base CVSS (NVD) | 9.8 Crítica |
| Vetor CVSS | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Quem tem de agir e até quando
As agências do poder executivo civil federal dos EUA são obrigadas a corrigir a vulnerabilidade até 12 de novembro de 2026. A CISA insta todas as organizações a priorizarem as falhas listadas no KEV como parte da sua gestão de vulnerabilidades.
A ação exigida pela CISA para esta entrada:
Aplicar mitigações de acordo com as instruções do fornecedor, garantindo a conformidade com a orientação BOD 26-04 da CISA «Prioritizing Security Updates Based on Risk» (ver URL nas Notas) e os «Requisitos de Triagem Forense» da CISA (ver URL nas Notas). Siga a orientação aplicável do BOD 26-04 para serviços em nuvem ou interrompa o uso do produto se as mitigações não estiverem disponíveis. As partes interessadas são responsáveis por avaliar a exposição de cada ativo à internet e garantir a adesão às diretrizes de correção do BOD 26-04.
Referências
- CISA Known Exploited Vulnerabilities Catalog https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-102895 https://nvd.nist.gov/vuln/detail/CVE-2026-102895
- github.com https://github.com/gpustack/gpustack/security/advisories/GHSA-gj9m-f8ph-pmhr
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk