위험CVSS9.82026-11-10
CVE-2026-102895 — GPUStack에서 인증 없는 공격자가 관리자로 행동할 수 있는 취약점: 해설과 대책(CVSS 9.8, 2.2.0에서 수정, 악용 확인)
AI 모델을 서비스하는 GPU 클러스터 관리자 GPUStack(2.2.0 미만의 pip gpustack)의 결함으로 CVSS 9.8입니다. 권고에 따르면 요청의 네트워크 출처를 신원의 증거로 신뢰하는 설계여서, 같은 호스트의 리버스 프록시 뒤에서는 인증 없는 요청이 관리자로 취급됩니다. 권고는 v2.1.1 배포에 대한 악용을 보고하며, CISA는 11월 9일 KEV에 추가했습니다(기한 11월 12일). 2.2.0에서 수정되었습니다. 본 사이트의 견해: 업데이트만으로는 부족하며, 관리자 API 키를 감사하고 워커와 클라우드 자격 증명을 폐기하고 재발급하세요.