Apertura · Vulnerabilità
Quattro nuove voci nel KEV, e quella che conta riguarda sshd
La CISA ha aggiunto GPUStack, OpenSSH, FreeSwitch e IBM Aspera Faspex al catalogo delle Known Exploited Vulnerabilities in un unico aggiornamento, e la falla di OpenSSH è sfruttata in questo momento.
Il lotto è arrivato tutto insieme: CVE-2026-102895 in GPUStack, una falla di autenticazione impropria che la CISA descrive come in grado di consentire l'accesso amministrativo non autenticato, la creazione persistente di chiavi API da amministratore, la divulgazione di segreti dei worker e dei cloud provider e l'esecuzione di codice tramite POST /v2/inference-backends/; CVE-2026-123158 in OpenBSD OpenSSH su Linux, una falla da codice di stato o valore di ritorno imprevisto che consente l'elusione dell'autenticazione; CVE-2026-116779 in SignalWire FreeSwitch, un'iniezione di codice che permette la divulgazione di configurazioni e credenziali, il controllo arbitrario delle chiamate e l'esecuzione di comandi; e CVE-2026-123218 in IBM Aspera Faspex, una falla di autorizzazione errata che consente l'escalation dei privilegi. Separatamente, la CISA ha segnalato un'elusione dell'MFA in SonicWall SonicOS, a fronte di notizie che, a suo dire, potrebbero indicare uno sfruttamento in attacchi reali.
I punteggi EPSS dei quattro si collocano tra 0.00331 e 0.01299, che è il modo statistico per dire: probabilmente non tocca a voi. Il KEV è un altro tipo di frase. Due testate riferiscono che la falla di OpenSSH, ora nota come SSHole, è sfruttata attivamente per eseguire comandi, rubare credenziali e stabilire un accesso persistente, con i primi tentativi attribuiti a botnet e cryptominer e l'aspettativa che attori meglio finanziati seguano a ruota. Stamattina una previsione e una fotografia erano in disaccordo, e vince la fotografia.
La voce su GPUStack è quella da leggere due volte. Si tratta di accesso amministrativo non autenticato allo strumento che pianifica i vostri carichi di lavoro sui modelli, compresi i segreti dei cloud provider che custodisce per vostro conto; un tracker del KEV la valuta CVSS 9.8, raggiungibile via rete senza login e senza clic. Abbiamo passato tre anni a discutere se l'IA fosse un problema di sicurezza, e poi le abbiamo silenziosamente dato un piano di controllo con un'elusione dell'autenticazione dentro. Maureen osserva, correttamente, che nessuno ha ancora deciso se il cluster GPU rientri nel report trimestrale sulle patch, perché al momento dell'acquisto era stato descritto come ricerca.
Perché è rilevanteOrdine di applicazione delle patch oggi: sshd su tutto ciò che è esposto a internet, poi il livello di orchestrazione delle GPU per cui nessuno ha scritto un runbook, poi Faspex e FreeSwitch.