危急CVSS9.82026-11-10
CVE-2026-102895 — GPUStack 讓未認證攻擊者冒充管理員：解析與對策（CVSS 9.8，已在 2.2.0 修復，已被利用）
GPUStack 是用於提供 AI 模型服務的 GPU 叢集管理器，其漏洞影響 pip gpustack 2.2.0 之前的版本，CVSS 9.8。據公告，其設計把請求的網路來源當作身分證明，因此在同一主機的反向代理之後，未認證的請求會被當作管理員。公告報告了針對 v2.1.1 部署的利用，CISA 於11月9日把它列入 KEV（期限11月12日）。已在 2.2.0 修復。本站的觀點：僅更新並不夠；還要審計管理員 API 金鑰，並撤銷、重新簽發 worker 和雲端憑證。