Alertas prioritarias y resúmenes de Radar por correo.
Comprobando disponibilidad…
Aviso de seguridad
GPUStack reports exploitation against a 2.1.1 deployment. A default trust in requests seen as local can grant administrative access and expose worker credentials or enable code execution.
Quiénes deben revisar: Teams running GPUStack, especially deployments behind a reverse proxy on the same host.
Acción recomendadaCorrección disponible
Upgrade GPUStack to 2.2.0 or later and restrict API access. Review unexpected administrator keys, custom backends and workers; revoke credentials affected by unauthorized access.
The vulnerable default grants administrator privileges to requests considered local. A proxy on the same machine or a forged real-IP header can expose this path remotely. Version 2.2.0 removes that implicit trust.
The maintainer documents exploitation on version 2.1.1. CISA added the CVE to KEV on November 9; the advisory was originally published in July. This is newly prioritized coverage, not a claim that the flaw was discovered today.
Oktsec recommends treating software correction and recovery as separate tasks: administrative keys or worker changes made before patching may survive an upgrade.
Proveedor / autor
GPUStack
Identificadores de vulnerabilidad
CVE-2026-102895
Acceso necesario
Depende de la aplicación o configuración
Divulgado
31 jul 2026
Última revisión de evidencia
11 nov 2026 UTC
¿Qué sistemas y versiones están afectados?
Producto
Afectado
Versión corregida / acción
GPUStack
Before 2.2.0; the documented path uses force_auth_localhost=False and requests treated as loopback.
2.2.0 or later
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
The maintainer reports exploitation and CISA added the CVE on November 9. Default trust in loopback traffic creates an administrative path when external requests appear local.
¿Qué implica para los entornos de IA?
GPUStack manages model serving infrastructure. Administrative access can reach workers, model configuration and provider credentials.
Added affected configurations, vendor corrections and confirmed exploitation evidence.
Acciones de respuesta
Prepará tu respuesta
0 de 3 acciones registradas como completadas
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.
1
Check how requests reach GPUStack
Inspect reverse proxy placement and handling of X-GPUStack-Real-IP. Do not assume a loopback listening address isolates an API reached through a proxy.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
2
Apply the corrected release
Upgrade to 2.2.0 or later. If delayed, apply the maintainer workaround: force_auth_localhost=true, strip client supplied real-IP headers and restrict API reachability.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3
Review administrative activity
Oktsec recommends preserving logs and checking new API keys, custom backends and unexpected worker processes. Revoke unauthorized keys and rotate affected secrets from a trusted environment.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3. Compartí el plan
Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.
Compará la versión en ejecución y la configuración con las indicaciones del proveedor.
Producto
Afectado
Versión corregida / acción
GPUStack
Before 2.2.0; the documented path uses force_auth_localhost=False and requests treated as loopback.
2.2.0 or later
Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.
Acceso necesarioDepende de la aplicación o configuración
EVIDENCIA CON FUENTES
Evidencia y fuentes
Revisado 11 nov 2026 UTC
Por qué tiene esta prioridad
The maintainer reports exploitation and CISA added the CVE on November 9. Default trust in loopback traffic creates an administrative path when external requests appear local.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Los plazos y requisitos federales de CISA se muestran como contexto. No son obligaciones universales para empresas privadas o de América Latina. La fecha de incorporación corresponde al catálogo, no al primer ataque.
Evidencia de respaldo
Producto / CVE
Evidencia de ataques
Indicaciones de la fuente
GPUStackCVE-2026-102895
Ataques confirmados
Confirmado por CISA, la agencia de ciberseguridad de EE. UU.
0.56% de probabilidad estimada de explotación en los próximos 30 días. No es la probabilidad de un ataque a tu organización.
Puntaje del 10 nov 2026 · Superior al 46.66% de las vulnerabilidades evaluadas.Subió 0.22 puntos porcentuales desde 9 nov 2026.Datos de FIRST EPSS
FIRST EPSS · Revisado 2026-11-11 13:38 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.
Fuentes
Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.