重大CVSS9.82026-11-10
CVE-2026-102895 — GPUStackで、認証なしに管理者として操作される脆弱性の解説と対応策（CVSS 9.8・2.2.0で修正・悪用確認済み）
GPUクラスタでAIモデルを動かす管理ソフトGPUStack（pip版gpustack 2.2.0未満）の脆弱性（CVSS 9.8）。勧告によると、リクエスト元のネットワークを身元の証明として信頼する設計のため、同じホストのリバースプロキシの裏などで、認証なしに管理者として扱われる。勧告はv2.1.1環境での実環境での悪用を報告し、CISAのKEVに11月9日に追加（対応期限は11月12日）。修正版は2.2.0。当サイトの結論：更新だけでは足りず、管理者APIキーの棚卸しと、worker・クラウドの認証情報の失効・再発行が要る。