vLLM afectado por RCE a través de la carga dinámica de módulos auto_map durante la inicialización del modelo

El impacto de esta vulnerabilidad es crítico. Un atacante que pueda controlar el repositorio o la ruta del modelo (ya sea un directorio local o un repositorio remoto de Hugging Face) puede lograr la ejecución de código arbitrario en el host de vLLM. Esta ejecución ocurre durante la carga del modelo, antes de que se maneje cualquier solicitud de API, lo que significa que no se requiere acceso a la API para explotar la vulnerabilidad. Esto permite a un atacante comprometer completamente el servidor, instalar malware, robar datos confidenciales o utilizar el servidor como punto de apoyo para ataques posteriores. La falta de validación de trustremotecode antes de cargar módulos dinámicos auto_map es la causa raíz de este problema.

Organizations deploying vLLM for LLM inference and serving are at risk, particularly those using untrusted or publicly accessible Hugging Face model repositories. Environments where vLLM is used for sensitive workloads or integrated with other critical systems face the highest risk. Shared hosting environments where multiple users can influence model paths are also particularly vulnerable.

• python / server:

import os
import subprocess

def check_vllm_version():
    try:
        result = subprocess.check_output(['vllm', '--version'], stderr=subprocess.STDOUT, text=True)
        version = result.strip()
        if version.startswith('0.13.'):
            print(f"vLLM version is vulnerable: {version}")
        else:
            print(f"vLLM version is not vulnerable: {version}")
    except FileNotFoundError:
        print("vLLM not found.")
    except subprocess.CalledProcessError as e:
        print(f"Error checking vLLM version: {e}")

check_vllm_version()

• python / supply-chain: Monitor Hugging Face model repositories for suspicious code or unusual file modifications. • generic web: Inspect vLLM server logs for errors related to model loading or unexpected code execution.

1. 2026-01-21Disclosure

   disclosure

2. 2026-01-21Patch

   patch

1. Reservado2026-01-09
2. Publicada2026-01-21
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-22807 es actualizar a la versión 0.14.0 de vLLM o superior, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda cargar los modelos con el parámetro trustremotecode=True. Esto requiere una evaluación cuidadosa de la confianza en las fuentes de los modelos, ya que permite la ejecución de código arbitrario. Como medida adicional, se puede implementar un firewall de aplicaciones web (WAF) para inspeccionar el tráfico de entrada y bloquear solicitudes sospechosas. Monitorear los registros del servidor en busca de actividad inusual relacionada con la carga de modelos también puede ayudar a detectar posibles ataques.