Celah GPUStack Masuk KEV, Server Inferensi AI Wajib Update

Misalkan timmu menyewa server GPU untuk menjalankan model AI sendiri. Supaya mudah mengatur model, worker, dan API key, kalian memasang GPUStack, lalu menaruh Nginx di depannya agar panelnya bisa dibuka dari kantor. Semua terlihat rapi, padahal konfigurasi persis seperti itulah yang membuat siapa pun bisa masuk sebagai administrator tanpa password.

Itu inti CVE-2026-102895. Pada 9 November 2026, CISA memasukkan celah GPUStack ini ke katalog Known Exploited Vulnerabilities (KEV), daftar celah yang sudah terbukti dieksploitasi. Kalau kamu menjalankan GPUStack di bawah versi 2.2.0, anggap server itu rentan dan segera perbarui, idealnya langsung ke 2.2.2 atau lebih baru.

Apa yang terjadi pada 9 November

CISA menambahkan empat celah ke katalog KEV hari itu: GPUStack (CVE-2026-102895), OpenSSH (CVE-2026-123158), SignalWire FreeSwitch, dan IBM Aspera Faspex. Keempatnya diberi tenggat perbaikan 12 November 2026 untuk instansi federal AS, dan entri GPUStack ditandai memerlukan triase forensik.

Deskripsi CISA untuk entri GPUStack cukup lugas. Celah autentikasi ini bisa memberi akses administratif tanpa login, termasuk mengubah user dan model, membuat API key admin yang permanen, membuka rahasia worker dan kredensial penyedia cloud, sampai eksekusi kode lewat endpoint POST /v2/inference-backends/from-yaml.

Advisori resmi GPUStack (GHSA-gj9m-f8ph-pmhr) sebenarnya sudah terbit pada 31 Juli 2026 dengan skor CVSS 3.1 sebesar 9.8 (Critical). Advisori itu juga mencatat eksploitasi nyata terhadap satu instalasi versi 2.1.1, di mana penyerang membuat backend kustom yang menjalankan reverse shell. Jadi masuknya ke KEV bukan kejutan, melainkan konfirmasi bahwa tambalan Juli belum dipasang di banyak tempat.

Kenapa loopback bisa jadi pintu masuk?

Masalahnya ada di fungsi get_current_user dalam berkas gpustack/api/auth.py. Pada versi sebelum 2.2.0, permintaan yang dianggap berasal dari loopback (127.0.0.1) otomatis dipromosikan menjadi administrator bawaan. Ini terjadi selama pengaturan force_auth_localhost bernilai false, dan itulah nilai bawaannya.

Logika "kalau dari localhost pasti aman" terdengar wajar, tetapi menurut advisori ada dua cara mudah membuat permintaan dari luar terlihat lokal:

1. Reverse proxy di mesin yang sama. Bila Nginx atau proxy lain meneruskan trafik dengan proxy_pass http://127.0.0.1:<port>, setiap permintaan dari internet sampai ke GPUStack dengan alamat asal 127.0.0.1. Tidak perlu header atau kredensial apa pun.
2. Header palsu. Klien cukup mengirim X-GPUStack-Real-IP: 127.0.0.1 agar permintaannya dianggap lokal.

Setelah masuk sebagai admin, penyerang bisa membuat API key dengan cakupan penuh yang tetap berlaku dari alamat IP mana pun. Artinya, menambal saja belum tentu cukup bila server sempat terekspos. Kunci yang dibuat penyerang tetap hidup sampai dihapus.

Celah GPUStack apa lagi yang perlu ditutup?

Versi 2.2.0 menutup celah loopback, tetapi November 2026 juga membawa dua celah lain yang baru tuntas di 2.2.2. Karena itu targetmu sebaiknya 2.2.2, bukan sekadar 2.2.0.

Menurut The Hacker Wire, endpoint /auth/saml/callback tetap aktif walaupun SAML tidak dikonfigurasi, jadi celah CVE-2026-102894 relevan juga bagi yang tidak memakai SAML. Sedangkan CVE-2026-103002 hanya berlaku pada cluster dengan penyedia Kubernetes dan worker yang bisa dijangkau, tetapi dampaknya bisa sampai menjalankan workload milik penyerang di cluster tersebut.

Langkah yang disarankan advisori

Prioritas pertama tentu memperbarui GPUStack ke 2.2.2 atau lebih baru, lewat pip atau image container sesuai cara kamu memasangnya. Cek versi yang berjalan sebelum dan sesudah pembaruan, jangan hanya mengandalkan tag image di berkas compose.

Bila pembaruan belum bisa dilakukan hari ini, advisori GHSA-gj9m-f8ph-pmhr menyebut tiga mitigasi sementara. Aktifkan force_auth_localhost=true agar permintaan loopback tetap wajib login. Pastikan proxy tidak membuat trafik luar terlihat sebagai loopback, dan buang header X-GPUStack-Real-IP kiriman klien di sisi tepi. Terakhir, jauhkan API dari jaringan yang tidak tepercaya, misalnya dengan VPN atau autentikasi di gateway.

Untuk CVE-2026-102894, The Hacker Wire menyarankan membatasi akses ke /auth/saml/callback dengan ACL jaringan atau WAF, atau memblokirnya sama sekali bila SAML tidak dipakai.

Pemeriksaan tambahan setelah menambal

Bagian ini adalah penalaran kami, bukan saran resmi GPUStack atau CISA.

Karena celah ini memungkinkan pembuatan API key admin dan pembacaan rahasia, server yang pernah terbuka ke internet dengan versi rentan sebaiknya diperlakukan sebagai mungkin sudah dimasuki. Periksa daftar user dan API key, hapus yang tidak kamu kenali, dan lihat apakah ada backend inferensi yang tidak pernah kalian buat. Ganti kredensial penyedia cloud, token registry, dan rahasia worker yang tersimpan di GPUStack. Log Nginx juga layak ditelusuri untuk permintaan ke endpoint from-yaml atau header X-GPUStack-Real-IP dari luar.

Pelajaran yang lebih luas berlaku untuk semua alat AI self-hosted. Panel pengelola model, API Ollama, atau antarmuka vLLM sebaiknya tidak dibuka langsung ke internet. Pola pengamanannya mirip dengan yang dibahas di cara mengamankan API Ollama agar tidak terbuka ke publik, dan kalau kamu sedang menyiapkan server inferensi baru, catatan keamanannya ada di panduan memasang vLLM di server GPU.

Ringkasan

CVE-2026-102895 adalah contoh asumsi kecil yang berbahaya: menganggap localhost selalu tepercaya. Begitu ada reverse proxy di mesin yang sama, asumsi itu runtuh. Perbarui GPUStack ke 2.2.2 atau lebih baru, cabut kunci dan kredensial yang mungkin bocor, lalu letakkan panelnya di balik VPN. Untuk menyusun urutan tambalan ketika beberapa celah KEV datang bersamaan, seperti OpenSSH di hari yang sama, gunakan panduan katalog KEV CISA sebagai pegangan.