Alerta de Seguridad: GPUStack - Autenticación indebida

GPUStack contiene una vulnerabilidad de autenticación indebida (CVE-2026-102895, CVSS 9.8) que permite acceso administrativo sin credenciales. CISA la incluyó en KEV el 2026-11-09 por explotación activa.

• Cambios en usuarios y modelos.
• Creación de claves API de administrador persistentes.
• Divulgación de secretos de workers y proveedores cloud.
• Ejecución de código vía POST /v2/inference-backends/from-yaml.

CWE: 287, 290, 346. Uso en ransomware: desconocido. Fecha límite FCEB: 2026-11-12.

• Aplicar las mitigaciones del fabricante (aviso GHSA-gj9m-f8ph-pmhr).
• No exponer GPUStack a internet; limitar acceso por VPN/segmentación.
• Revocar claves API de administrador desconocidas y auditar usuarios.
• Rotar secretos de workers y credenciales cloud.
• Revisar logs del endpoint /v2/inference-backends/from-yaml.
• Cumplir BOD 26-04 y triage forense de CISA; discontinuar el producto si no hay mitigación.