CISA Masukkan Celah RCE GPUStack (CVE-2026-102895) ke Katalog KEV, Eksploitasi Aktif Terkonfirmasi

CISA memasukkan CVE-2026-102895, celah CVSS 9,8 pada GPUStack — manajer cluster GPU open-source untuk serving model AI — ke katalog Known Exploited Vulnerabilities pada 9 November, dengan tenggat remediasi federal 12 November dan flag triage forensik.

Pada versi di bawah 2.2.0, request yang terlihat berasal dari loopback otomatis diperlakukan sebagai admin bawaan karena setting force_auth_localhost default-nya false. Request remote bisa menyamar sebagai loopback lewat reverse proxy di host yang sama atau header palsu X-GPUStack-Real-IP. Eksploitasi terkonfirmasi pada deployment versi 2.1.1 memakai celah ini untuk mencetak API key persisten, membaca kredensial worker dan cloud provider yang tersimpan, serta mendaftarkan inference backend berbahaya yang mengeksekusi kode di host worker — membuka reverse shell.

Versi 2.2.2 juga menutup CVE-2026-102894, bypass autentikasi SAML dengan CVSS 9,1. Cloud Security Alliance yang menerbitkan analisis penuh pada 10 November menegaskan patch saja tidak mengusir penyerang: akun dan API key buatan penyerang harus dicabut dan semua kredensial yang tersimpan dirotasi.