Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-26210 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-04-24 |
| Producent | KTransformers |
| Produkt | KTransformers |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD
KTransformers do wersji 0.5.3 zawiera podatność niebezpiecznej deserializacji w trybie backendu balance_serve. Serwer RPC schedulera binduje gniazdo ZMQ ROUTER na wszystkich interfejsach bez uwierzytelnienia i deserializuje przychodzące wiadomości za pomocą
pickle.loads()bez walidacji. Atakujący może wysłać spreparowany payload pickle do wystawionego gniazda ZMQ i wykonać dowolny kod na serwerze z uprawnieniami procesu ktransformers.
Wymagane działania
Niezwłocznie zaktualizuj KTransformers do wersji zawierającej poprawkę bezpieczeństwa. Do czasu wdrożenia patcha nie wystawiaj usługi balance_serve na publicznych interfejsach – zbinduj gniazdo ZMQ wyłącznie na localhost lub w izolowanym segmencie sieci, zablokuj porty schedulera RPC na firewallu i przejrzyj logi pod kątem nietypowych połączeń do gniazda ZMQ.
Kogo dotyczy?
Podatność dotyczy produktu KTransformers w wersjach do 0.5.3. Sprawdź czy Twoja organizacja używa KTransformers do uruchamiania modeli LLM w trybie balance_serve i niezwłocznie zaktualizuj instalację.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
