KIberblick

GPUStack-Lücke macht Angreifer zum Admin

Eine kritische Lücke im GPU-Cluster-Manager GPUStack macht Angreifer ohne Anmeldung zum Admin. Die CISA meldet aktive Angriffe. Fix ab Version 2.2.0.

Entwickler:in
11. November 20263 Min. Lesezeit

Wer KI-Modelle auf eigenen GPUs mit GPUStack betreibt, sollte heute die Version prüfen. Die US-Behörde CISA hat am 09.11.2026 die Lücke CVE-2026-102895 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Angreifer werden darüber ohne Anmeldung zum Administrator und können eigenen Code ausführen. CVSS 9.8, kritisch.

GPUStack ist ein Open-Source-Cluster-Manager (Apache 2.0), der Modelle über vLLM oder SGLang auf mehreren GPU-Rechnern bereitstellt. Für Teams, die aus Datenschutzgründen Modelle selbst hosten, ist das ein naheliegendes Werkzeug.

Wie die Lücke funktioniert

Das Advisory vom 31.07.2026 beschreibt die Ursache: GPUStack behandelt jede Anfrage von localhost als den eingebauten Administrator, solange die Option force_auth_localhost auf dem Standardwert false steht. Das lässt sich auf zwei Wegen ausnutzen:

  • Reverse Proxy auf demselben Rechner. Leitet etwa nginx mit proxy_pass http://127.0.0.1:<port> weiter, kommt jede Anfrage aus dem Internet für GPUStack scheinbar von localhost.
  • Gefälschter Header. Wer X-GPUStack-Real-IP: 127.0.0.1 mitschickt, wird ebenfalls als lokal behandelt.

Mit Admin-Rechten kann ein Angreifer Nutzer und Modelle verwalten, dauerhafte API-Keys anlegen, die von überall gelten, Secrets von Workern und Cloud-Anbietern auslesen und über die Funktion für eigene Inference-Backends Code ausführen. Genau so lief laut Advisory ein beobachteter Angriff auf eine Installation mit Version 2.1.1: Die Angreifer legten eigene Backends an, die Reverse Shells starteten.

Betroffen sind alle Versionen vor 2.2.0. Das Fix-Release ist seit Juni verfügbar, das Advisory seit Ende Juli. In die NVD kam die CVE erst am 04.11.2026, wenige Tage später folgte der Eintrag bei der CISA. US-Bundesbehörden müssen bis 12.11.2026 reagieren. Konkrete Angriffsindikatoren wie IP-Adressen hat weder die CISA noch das Projekt veröffentlicht.

Was zu tun ist

  1. Version prüfen und aktualisieren. Mindestens 2.2.0, besser die aktuelle stabile 2.3.0. Die schließt auch eine weitere Lücke vom 26.10.2026, bei der lokale Nutzer wegen falscher Dateirechte den JWT-Schlüssel lesen und sich Admin-Tokens bauen konnten.
  2. force_auth_localhost=true setzen, falls ein Update nicht sofort geht. Zusätzlich den Header X-GPUStack-Real-IP am Proxy entfernen.
  3. Nicht offen ins Internet stellen. GPUStack gehört hinter VPN oder eine vorgeschaltete Authentifizierung.
  4. Auf Einbruch prüfen, wenn die Instanz mit einer alten Version erreichbar war. Hinweise sind unbekannte Admin-API-Keys, neue Nutzer oder Inference-Backends, die niemand im Team angelegt hat. heise rät, bei aus dem Internet erreichbaren Systemen von einer Kompromittierung auszugehen. Dann helfen nur Neuaufsetzen und das Austauschen aller hinterlegten Secrets.

Wer selbst hostet, um Daten im Haus zu halten, übernimmt damit auch den Betrieb. Ein Cluster-Manager mit Admin-Zugriff auf GPUs und Cloud-Zugangsdaten braucht denselben Patch-Rhythmus wie jeder andere Server im Netz.

Quellen4