Критична вразливість виконання довільного коду в SGLang Multimodal Generation Runtime (CVE-2026-93088)

Що відомо

В SGLang multimodal generation runtime виявлено критичну вразливість, що дозволяє неавторизоване виконання довільного коду через необроблений вхід у DiffusionServer. ZeroMQ ROUTER сокет приймає повідомлення без перевірки, передаючи їх безпосередньо до pickle.loads(), що створює серйозний ризик компрометації системи.

Бізнес-вплив

Ця вразливість може призвести до повного контролю над уразливим сервером, що негативно впливає на безпеку інфраструктури та може спричинити витік даних або порушення роботи сервісів. IT-оператори повинні розглядати цю загрозу як критичну і пріоритетно реагувати для захисту своїх систем.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень або патчів від постачальника SGLang і застосувати їх. Якщо оновлення відсутні, слід обмежити мережевий доступ до DiffusionServer, провести аудит логів на ознаки експлуатації та розглянути можливість ізоляції сервісу. Для подальшої підтримки безпеки рекомендуємо звернутися до DataHouse для перевірки версій, управління патчами та аналізу мережевої експозиції.

Джерела

• NVD
• Reference
• Reference