O sistema de desagregação paralela do encoder SGLang é vulnerável à execução remota de código não autenticado através do módulo de desagregação

A CVE-2026-3060 afeta o SGLang, especificamente seu sistema de desagregação paralela do codificador. A vulnerabilidade reside no módulo de desagregação, onde dados não confiáveis são deserializados usando pickle.loads() sem autenticação. Isso permite que um atacante remoto, sem a necessidade de credenciais, execute código arbitrário no sistema afetado. Dada a gravidade do problema (CVSS 9.8), o impacto potencial é significativo, podendo resultar na tomada de controle completa do servidor, roubo de dados sensíveis ou interrupção do serviço. A falta de autenticação agrava a situação, facilitando a exploração por parte de atacantes com acesso à rede ou até mesmo da internet.

Organizations utilizing SGLang for encoding tasks, particularly those with publicly accessible endpoints or systems exposed to untrusted networks, are at significant risk. Development environments and systems handling user-supplied data are especially vulnerable. Those relying on older, unpatched versions of SGLang are most susceptible.

• python / server:

import os
import subprocess

def check_sglang_version():
    try:
        result = subprocess.check_output(['pip', 'show', 'sglang'], stderr=subprocess.STDOUT, text=True)
        for line in result.splitlines():
            if 'Version:' in line:
                version = line.split('Version:')[1].strip()
                if version <= '0.5.9':
                    return True
                else:
                    return False
    except FileNotFoundError:
        return False

if check_sglang_version():
    print("Vulnerable SGLang version detected!")
else:
    print("SGLang version is patched or not installed.")

• generic web: Check for unusual network traffic patterns associated with SGLang's disaggregation module. Monitor for unexpected processes or files being created.

1. 2026-03-12Disclosure

   disclosure

1. Reservado2026-02-23
2. Publicada2026-03-12
3. Modificada2026-04-07
4. EPSS atualizado2026-03-23

A solução recomendada é atualizar o SGLang para a versão 0.5.10 ou superior, que inclui a correção desta vulnerabilidade. Além disso, recomenda-se implementar medidas de segurança adicionais, como a segmentação da rede para limitar o acesso ao servidor SGLang, a monitorização da atividade da rede para detetar tentativas de exploração e a aplicação de um firewall para bloquear o tráfego não autorizado. É crucial rever a configuração do módulo de desagregação para assegurar que apenas são processados dados provenientes de fontes confiáveis. Em ambientes onde a atualização imediata não é possível, pode-se considerar a implementação de um filtro de entrada para validar os dados antes da deserialização, embora esta medida seja menos segura do que a atualização.