GPUStack: aktívne zneužívaná chyba otvára správu AI serverov

Čo sa zmenilo 9. novembra

GPUStack je otvorený softvér na správu GPU infraštruktúry a prevádzku AI modelov. Zraniteľnosť CVE-2026-102895 sa týka verzií starších ako 2.2.0. CISA ju 9. novembra 2026 pridala do katalógu Known Exploited Vulnerabilities. Ide o nové potvrdenie jej praktického zneužívania, nie o oznámenie dnes objavenej chyby. [1] [2]

Opravená verzia 2.2.0 vyšla už 18. júna 2026. Bezpečnostné oznámenie vývojárov má dátum 31. júla a záznam NVD bol zverejnený 4. novembra 2026. Vývojári opisujú zneužitie nasadenia 2.1.1, pri ktorom vznikli škodlivé vlastné výpočtové backendy. Presný dátum tohto útoku nie je v oznámení uvedený. [2] [3] [4]

V preverených zdrojoch sme nenašli potvrdenú slovenskú ani českú obeť. Význam pre miestne firmy vyplýva z používania dotknutého produktu: týka sa interných AI asistentov, vývojových tímov či dodávateľov, ktorí na GPUStack prevádzkujú modely. Nemožno z neho vyvodzovať problém všetkých AI služieb. CISA pri tejto chybe uvádza využitie v ransomvérových kampaniach ako neznáme. [1]

Prečo ani lokálna adresa nezaručuje bezpečnosť

Chybná logika považovala požiadavku prichádzajúcu z lokálneho počítača za dostatočný dôvod na administrátorský prístup. Pri predvolenom nastavení bez vynútenej autentifikácie pre localhost mohla takto vyhodnotiť aj prevádzku sprostredkovanú reverznou proxy na rovnakom serveri. Druhá cesta zneužívala dôveru k hlavičke X-GPUStack-Real-IP. [2]

Reverzná proxy pritom bežne prijíma spojenia zvonka a odovzdáva ich aplikácii. To, že aplikácia vidí lokálneho sprostredkovateľa, ešte neznamená, že pozná totožnosť pôvodného používateľa. Praktické poučenie je širšie: sieťová adresa nenahrádza overenie identity.

Podľa vývojárov získaný prístup umožňuje meniť používateľov a modely, vytvárať trvalé administrátorské API kľúče a čítať prihlasovacie údaje workerov aj cloudových poskytovateľov. Cez administrátorské funkcie môže viesť aj k vykonávaniu kódu na pracovných uzloch. To vysvetľuje, prečo nestačí kontrolovať iba obrazovku prihlásenia. [2]

Ako overiť, či sa problém týka vašej firmy

Začnite inventárom vlastných aj dodávateľských nasadení. Pýtajte sa, kto GPUStack spravuje, kde beží jeho riadiace rozhranie a ku ktorým systémom má uložené prístupy. Vývojový experiment s produkčnými kľúčmi potrebuje rovnakú pozornosť ako oficiálna firemná služba.

1. Zistite skutočne spustenú verziu. Pri Python inštalácii možno v príslušnom prostredí použiť python -m pip show gpustack. Pri kontajneri overte použitý obraz aj verziu bežiaceho procesu. Samotný názov tagu latest nestačí.
2. Zmapujte dostupnosť správy. Skontrolujte firewall, cloudové pravidlá, reverznú proxy a samostatný prístup na backend. Overte aj cesty cez internú sieť a VPN, nielen verejnú doménu.
3. Preverte autentifikáciu. Pri staršej verzii skontrolujte nastavenie force_auth_localhost a spracovanie klientskych hlavičiek. Neznáma konfigurácia je dôvod na preverenie, nie potvrdenie bezpečnosti.
4. Spíšte uložené tajomstvá. Zahrňte API tokeny, cloudové prístupy a oprávnenia pracovných uzlov. Tento zoznam určí rozsah zásahu, ak nájdete známky kompromitácie.

Kontrolu robte v spravovanom prostredí a po dohode so zodpovedným administrátorom. Na zistenie verzie a konfigurácie nepotrebujete spúšťať verejný exploit na produkčnom serveri.

Obmedzte prístup a naplánujte aktualizáciu

Vývojári odporúčajú aktualizáciu; oprava tejto konkrétnej chyby je vo verzii 2.2.0. Ako cieľ však zvoľte aktuálnu podporovanú verziu po overení kompatibility. Vydanie 2.2.2 opravilo aj ďalšie samostatné bezpečnostné chyby, takže samotné dosiahnutie 2.2.0 nemožno považovať za vyriešenie všetkých známych rizík. [2] [5]

Ak aktualizáciu nemožno vykonať okamžite, výrobca uvádza dočasné opatrenia: vynútiť force_auth_localhost=true, odstrániť klientom dodanú hlavičku X-GPUStack-Real-IP na vstupnej bráne a držať API mimo nedôveryhodných sietí. Nastavenie proxy musí zabrániť tomu, aby sa externá požiadavka považovala za dôveryhodnú lokálnu. Samotné filtrovanie jednej hlavičky nepokrýva obe opísané cesty. [2]

Pred zmenou pripravte zálohu konfigurácie a databázy a overte postup obnovy. Po nasadení skontrolujte verzie servera a uzlov, funkčnosť modelov aj odmietanie neprihláseného prístupu. CISA uvádza termín nápravy 12. novembra 2026 pre príslušné americké federálne orgány. Pre slovenskú alebo českú firmu tým nevzniká rovnaká automatická lehota; potvrdené zneužívanie je však dôvodom konať prioritne. [1]

Aktualizácia neodstráni už vytvorený prístup

Nasledujúci postup je praktické odporúčanie pre preverenie firmy, nie tvrdenie, že každý zraniteľný server bol napadnutý. Pri exponovanom staršom nasadení skontrolujte nové účty, administrátorské kľúče, vlastné backendy, zmeny modelov a konfigurácie. Na uzloch hľadajte nečakané procesy a odchádzajúce spojenia. Chýbajúce záznamy samy osebe čistý stav nepotvrdzujú.

Pri náleze podozrivej aktivity obmedzte dotknutý systém a uchovajte dostupné logy aj časovú os pred zásahmi, ktoré by dôkazy prepísali. Z dôveryhodného zariadenia zrušte neoprávnené kľúče a vymeňte potenciálne odhalené tajomstvá. Súčasne skontrolujte ich použitie u cloudových poskytovateľov a v nadväzujúcich službách. Zmena jedného hesla neodvolá každý existujúci token.

Obnovu smerujte do čistého, aktualizovaného prostredia. Neprenášajte neoverené backendy a staré kľúče zo zálohy automaticky. Ak je AI súčasťou dôležitého procesu, pripravte dočasný manuálny režim alebo náhradnú kapacitu. Pri prepnutí na externú AI službu najskôr posúďte, aké firemné dáta by do nej odišli.

Štyri priority pre firmu

• Overiť všetky nasadenia GPUStack a ich skutočné verzie.
• Obmedziť dostupnosť správy a nasadiť podporované opravené vydanie.
• Preveriť účty, API kľúče, backendy a prístupy do ďalších systémov.
• Otestovať obnovu a zahrnúť AI infraštruktúru do pravidelnej správy bezpečnosti.