CVE-2026-26210: KTransformers: desserialização insegura com execução remota de código via balance_serve
KTransformers até a versão 0.5.3 contém uma falha de desserialização insegura no modo balance_serve, em que um socket ZMQ sem autenticação fica acessível em todas as interfaces. O registro descreve possível execução arbitrária de código com os privilégios do processo ktransformers e pontuação CVSS 9.8, crítica. Não há inclusão no KEV nem exploração ativa confirmada nas fontes consultadas.
Visão geral
O KTransformers até a versão 0.5.3 apresenta uma falha de desserialização insegura (CWE-502) no modo de backend balance_serve. Segundo o registro, o servidor RPC do escalonador vincula um socket ZMQ ROUTER a todas as interfaces, sem autenticação, e repassa mensagens recebidas ao pickle.loads() sem validação.
Impacto
- Segundo o registro, quem conseguir alcançar o socket pode executar código arbitrário com os privilégios do processo ktransformers.
- A VulnCheck atribui pontuação CVSS base de 9.8, crítica. Uma segunda pontuação de 9.3, também da VulnCheck, aparece sob outra versão do CVSS.
- A avaliação SSVC indica impacto técnico total e automatizável como sim.
Produtos e versões afetados
- Kvcache-ai Ktransformers, todas as versões até a 0.5.3 inclusive.
- O registro não informa um limite inferior, portanto o início da faixa afetada é desconhecido.
Status de exploração
- Segundo o registro, esta CVE não consta no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
- A classificação de exploração SSVC é poc, e um texto de terceiros referenciado está marcado como material de exploit. A disponibilidade pública de prova de conceito deve ser considerada provável.
Correção e mitigação
- O registro referencia um patch na pull request 1944 do repositório do KTransformers e um artigo de mitigação de terceiros. Não há versão corrigida informada no registro; verifique o repositório upstream para o status atual.
- Não exponha a porta RPC do escalonador a redes não confiáveis. Restrinja-a com firewalls de host ou de rede e, quando a implantação permitir, vincule-a apenas ao loopback.
- Execute o serviço com privilégios mínimos e isole-o de dados sensíveis e credenciais.
Orientação para detecção
- Inventarie os hosts que executam o modo balance_serve e identifique quais escutam em interfaces que não são o loopback.
- Revise os logs de rede em busca de conexões de entrada inesperadas para a porta ZMQ usada pelo escalonador.
- Monitore o processo ktransformers em busca de processos filhos inesperados ou conexões de saída.
Limitações das informações disponíveis
- O registro não informa a porta padrão, a primeira versão afetada nem uma versão corrigida.
- O registro não confirma o conteúdo do patch nem se a pull request foi integrada.
- A probabilidade EPSS é 0.01044, com percentil 0.63853, datada de 2026-10-23 no registro.
Perguntas frequentes
Quais versões do KTransformers são afetadas?
Segundo o registro, as versões até a 0.5.3 inclusive são afetadas. O registro não informa a primeira versão afetada.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no KEV da CISA, portanto essa fonte não confirma exploração ativa. A classificação SSVC de exploração é poc, o que indica que atividade com prova de conceito é possível.
O que os administradores devem fazer primeiro?
Restrinja o acesso de rede à porta RPC do escalonador, evite expô-la a redes não confiáveis e verifique o repositório upstream por uma versão corrigida, já que o registro não informa uma.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.