LMDeploy CVE-2026-33626 Flaw Exploited Within 13 Hours of Disclosure
Ein schwerwiegender Sicherheitsfehler in LMDeploy, einem Open-Source-Toolkit für die Komprimierung und Bereitstellung von großen Sprachmodellen, wurde innerhalb weniger als 13 Stunden nach seiner offenen Meldung ausgenutzt. Die Schwachstelle, CVE-2026-33626 (CVSS-Bewertung: 7,5), betrifft eine Server-Side Request Forgery (SSRF)-Fehlkonfiguration, die den Zugriff auf Systemressourcen ermöglicht. Benutzer von LMDeploy sollten sich beeilen, das betroffene Programm zu aktualisieren oder temporäre Workarounds einzusetzen, um Schadsoftware und Datenverluste zu vermeiden.
CVE-2026-33626 in LMDeploy wurde weniger als 13 Stunden nach der Offenlegung ausgenutzt. Die Schwachstelle ist eine SSRF-Fehlkonfiguration mit CVSS 7,5, die Zugriff auf Systemressourcen ermöglichen kann. Nutzer sollen LMDeploy aktualisieren oder temporäre Workarounds einsetzen.
Benutzer von LMDeploy, einem Open-Source-Toolkit zur Komprimierung und Bereitstellung großer Sprachmodelle
Die sehr schnelle Ausnutzung verkürzt das Reaktionsfenster für Betreiber öffentlich erreichbarer oder produktiver LMDeploy-Instanzen.
Angreifer greifen über SSRF auf interne Systemressourcen zu; der Artikel nennt zusätzlich Risiken durch Schadsoftware und Datenverlust.
Betroffene LMDeploy-Installationen sofort aktualisieren oder temporäre Workarounds anwenden und Serverzugriffe auf verdächtige SSRF-Aktivität prüfen.
- ▸Prüfen, ob LMDeploy in der Umgebung eingesetzt wird und ob die betroffene Version bereits aktualisiert oder durch Workarounds abgesichert wurde.
- ▸Server- und Proxy-Logs auf ungewöhnliche ausgehende Requests von LMDeploy-Systemen zu internen Ressourcen prüfen.
- ▸Netzwerkzugriffe von LMDeploy-Instanzen auf interne Metadaten-, Verwaltungs- oder Systemressourcen restriktiv validieren.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1190 Exploit Public-Facing Application | Medium | Der Artikel beschreibt eine ausgenutzte SSRF-Schwachstelle in LMDeploy kurz nach Offenlegung. |
- Betroffene LMDeploy-Versionen sind nicht im Artikel angegeben.
- Konkrete Exploit-Details, IOCs und beobachtete Angreifer sind nicht im Artikel angegeben.
- Ob betroffene Instanzen öffentlich erreichbar waren, ist nicht im Artikel angegeben.