CISA добавила в каталог Known Exploited Vulnerabilities четыре уязвимости. Поводом стали свидетельства эксплуатации в реальных атаках. В список попали менеджер GPU-кластеров GPUStack, телефонная платформа FreeSWITCH, сервер OpenSSH на части Linux-систем и система обмена файлами IBM Aspera Faspex. Все записи появились в каталоге 9 ноября 2026 года. Само попадание в KEV означает, что эксплуатацию подтвердили, а не предполагают.
Что известно по каждой записи
GPUStack пускает в админку без пароля
GPUStack - открытый менеджер GPU-кластеров для обслуживания моделей ИИ. Ошибка в проверке подлинности позволяла войти в административную панель без учётных данных. Система принимала запрос с петлевого адреса за обращение встроенного администратора. Клиент мог подставить такой адрес сам: через заголовок запроса или через обратный прокси на том же хосте. Принудительную проверку для локальных запросов по умолчанию не включают. В результате удалённое обращение выглядело локальным.
Обход открывал полный административный доступ. С ним можно менять пользователей и модели, создать постоянный административный ключ API, увидеть секреты рабочих узлов и облачных провайдеров и выполнить код. Эксплуатацию наблюдали в реальных атаках на развёртывание версии 2.1.1. Уязвимы версии до 2.2.0. Оценка CVSS - 9,8 из 10. После обновления проверьте, не появились ли в системе лишние административные ключи API.
FreeSWITCH выполняет команды из SIP-сообщения
FreeSWITCH - программная телефонная платформа. Ошибка в разборе входящего SIP-сообщения MESSAGE позволяла выполнить команды API FreeSWITCH с правами демона. Имя получателя делилось по знаку плюс, а левая часть трактовалась как выбор протокола чата. Выбор варианта API доводил запрос до исполнения команд, включая вызовы операционной системы.
Входящий чат включён в штатных профилях internal и external. Достаточно учётной записи, прошедшей проверку в профиле. В части конфигураций барьер снимают и штатные пользователи справочника без пароля. Злоумышленник получает доступ к конфигурации и учётным данным, управление вызовами и выполнение команд. Эксплуатацию фиксировали в реальных атаках. Исправление вышло в версии 1.11.3, оценка CVSS - 9,8. Обходных мер в записи нет: остаётся обновление.
OpenSSH и IBM Aspera Faspex: ещё две записи
В OpenSSH на Linux с библиотекой musl и без PAM сервер sshd не имеет обходной проверки для случая, когда строка неверно распознаётся как хеш пароля. Из-за этого в части конфигураций учётных записей подходит любой пароль длиной от 256 до 1024 символов. Подбирать его не нужно: годится любой в этом диапазоне. Пример такой платформы - Alpine Linux. Уязвимы выпуски до 10.6p2. Сложность атаки высокая, оценка CVSS - 8,1. Условие срабатывания - сборка sshd с musl и без PAM.
В IBM Aspera Faspex пользователь с учётной записью мог особым образом собранным сообщением обойти проверку авторизации и получить полные права администратора. Затронуты версии с 5.0.0 по 5.0.19. IBM выпустила исправление 5.0.19 PL1 для Linux. После обновления нужно убедиться, что образ faspex-core имеет версию 5.0.19 с Fix Pack 1. Оценка CVSS - 9,8. В записи есть расхождение: оценка CVSS говорит, что привилегии не нужны, а описание IBM - что действует пользователь с учётной записью.
Каталог KEV собирает уязвимости, эксплуатацию которых подтвердили. Для администраторов это повод ставить исправления вне обычного цикла обновлений. Атаку на GPUStack, FreeSWITCH и Aspera Faspex CISA сочла автоматизируемой: шаги можно воспроизвести инструментами без ручной подгонки. Для OpenSSH автоматизацию сочли затруднительной. Техническое воздействие в разметке CISA оценено как полное.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-102895
- https://www.cve.org/CVERecord?id=CVE-2026-116779
- https://www.cve.org/CVERecord?id=CVE-2026-123158
- https://www.cve.org/CVERecord?id=CVE-2026-123218
- https://www.cisa.gov/news-events/alerts/2026/11/09/cisa-adds-four-known-exploited-vulnerabilities-catalog
