Krytyczna luka w sglang umożliwiająca zdalne wykonanie kodu (CVE-2026-7301)

Co wiadomo

Wielomodalny scheduler runtime SGLang używa gniazda ROUTER, które domyślnie nasłuchuje na 0.0.0.0 i deserializuje dane przychodzące za pomocą pickle.loads(), co umożliwia zdalne wykonanie kodu (RCE) przy ekspozycji na internet.

Wpływ biznesowy

Luka o krytycznej ocenie 9.8 CVSS pozwala atakującym na pełne przejęcie systemu poprzez zdalne wykonanie kodu. Organizacje korzystające z sglang powinny traktować tę podatność priorytetowo, gdyż może prowadzić do poważnych naruszeń bezpieczeństwa i utraty kontroli nad infrastrukturą.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji od dostawcy lmsys oraz ich wdrożenie. W międzyczasie ograniczyć ekspozycję gniazda ROUTER na sieć publiczną, monitorować logi pod kątem podejrzanej aktywności i stosować zasady minimalnego dostępu do usług.

Źródła

• NVD
• Reference
• Reference