CVE-2026-48746

CVE-2026-48746 betrifft vLLM, eine Inferenz- und Serving-Engine für große Sprachmodelle (LLMs). Die Schwachstelle ermöglicht einen Authentifizierungs-Bypass der OpenAI API AuthenticationMiddleware, wodurch die API ohne den konfigurierten API-Schlüssel genutzt werden kann. Dies stellt ein erhebliches Sicherheitsrisiko dar, da unautorisierter Zugriff auf die LLM-Dienste möglich ist. Die Schwachstelle wird mit einem CVSS-Score von 9.1 als kritisch eingestuft. Obwohl die Exploit-Wahrscheinlichkeit (EPSS) mit 1% derzeit niedrig ist und die Schwachstelle nicht in CISA KEV gelistet ist, deutet der hohe CVSS-Score auf ein ernstes potenzielles Risiko hin, sollte ein Exploit entwickelt werden. Security-Teams sollten umgehend alle betroffenen vLLM-Instanzen auf Version 0.22.0 oder höher aktualisieren, um diese kritische Schwachstelle zu beheben. Eine schnelle Patch-Implementierung ist aufgrund des potenziellen Authentifizierungs-Bypasses dringend empfohlen, um unautorisierten Zugriff zu verhindern.