vLLM project vLLM en resumen
Una cadena con CVSS 9.8 en vLLM de 0.8.3 a 0.14.0 permite enviar un video_url que apunta a un video manipulado y ejecutar código en servidores que alojan modelos de video. Actualiza a 0.14.1.
vLLM project vLLM: estado
- Afectado
- vLLM desde 0.8.3 hasta antes de 0.14.1, cuando sirve un modelo de video
- Identificadores CVE
- Estado al
- Detectada por
- Reportado por dan-sec-ops (acreditado en el aviso de vLLM)
Qué cambió con vLLM project vLLM
El 2 de febrero de 2026, el proyecto vLLM publicó GHSA-4r2x-xpjr-7cvv para CVE-2026-22778, calificada como crítica con un puntaje CVSS 3.1 de 9.8. Afecta a vLLM desde 0.8.3 hasta antes de 0.14.1, el popular motor de código abierto que muchos equipos usan para servir LLM detrás de una API compatible con OpenAI.
El aviso describe una cadena de dos errores. Los mensajes de error de imágenes inválidas filtraban una dirección de memoria del heap, lo que debilitaba la protección ASLR, y luego se podía provocar un desbordamiento de heap al decodificar video con el FFmpeg incluido en OpenCV. El atacante envía una solicitud con un video_url que apunta a un video malicioso. Según el aviso, las instalaciones predeterminadas no requieren autenticación y la ruta de invocations es alcanzable incluso con una clave de API configurada.
Solo se ven afectadas las implementaciones que sirven un modelo con soporte de video. El aviso no ofrece una solución alternativa; la corrección es actualizar a vLLM 0.14.1, que incluye los parches.
Cómo corregirlo: vLLM project vLLM
1. Actualizar
Actualiza vLLM a 0.14.1 o una versión posterior.
github.com (se abre en una pestaña nueva)
Avisos de seguridad
Dónde comparar vLLM project vLLM
Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.
Por qué vLLM project vLLM importa para los negocios
Las empresas que alojan modelos abiertos por privacidad o costo suelen ejecutar vLLM en servidores con GPU que también guardan pesos de modelos, credenciales de la nube y prompts de clientes. Si sirves modelos multimodales, revisa tu versión de vLLM y evita exponer la API directamente a internet.
Fuentes de esta noticia
- vLLM RCE In Video Processing (GHSA-4r2x-xpjr-7cvv) (se abre en una pestaña nueva)Oficial
vLLM project on GitHub · github.com
- CVE-2026-22778 Detail (se abre en una pestaña nueva)Oficial
NIST National Vulnerability Database · nvd.nist.gov
- vLLM v0.14.1 release (se abre en una pestaña nueva)Oficial
vLLM project on GitHub · github.com
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #vllm
- #model-serving
- #multimodal
- #self-hosting