Τέσσερις ευπάθειες που ήδη αξιοποιούνται σε επιθέσεις πρόσθεσε τη Δευτέρα 9 Νοεμβρίου 2026 η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) στον κατάλογο των Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV). Οι τρεις ανοίγουν την πόρτα σε διακομιστές χωρίς κωδικό ή επιτρέπουν απομακρυσμένη εκτέλεση εντολών: η CVE-2026-123158 στο OpenSSH του OpenBSD, η CVE-2026-102895 στο GPUStack και η CVE-2026-116779 στο FreeSWITCH της SignalWire. Η τέταρτη, η CVE-2026-123218 στο IBM Aspera Faspex, επιτρέπει σε χρήστη με λογαριασμό να παρακάμψει τους ελέγχους εξουσιοδότησης με ειδικά διαμορφωμένο μήνυμα και να αποκτήσει αυξημένα δικαιώματα.
Η προθεσμία για τη διόρθωση είναι η Πέμπτη 12 Νοεμβρίου, δηλαδή τρεις ημέρες μετά την ένταξη, και ισχύει και για τις τέσσερις εγγραφές. Δεσμεύει μόνο τις μη στρατιωτικές ομοσπονδιακές υπηρεσίες της εκτελεστικής εξουσίας των ΗΠΑ (FCEB), στο πλαίσιο της οδηγίας BOD 26-04, που ζητά γρήγορη διόρθωση των ευπαθειών σε συστήματα εκτεθειμένα στο διαδίκτυο, όταν αυτές μπορούν να δώσουν στον επιτιθέμενο πλήρη έλεγχο, και έλεγχο για το αν το σύστημα είχε παραβιαστεί πριν από την επιδιόρθωση (forensic triage). Για όλες τις προσθήκες ο κατάλογος σημειώνει ότι είναι άγνωστο αν έχουν χρησιμοποιηθεί σε επιθέσεις ransomware. Η CISA προτρέπει κάθε οργανισμό να δίνει προτεραιότητα στις εγγραφές του KEV.
Για το OpenSSH, ο κατάλογος κάνει λόγο για μη αναμενόμενη τιμή επιστροφής που επιτρέπει παράκαμψη ταυτοποίησης σε Linux. Οι προγραμματιστές του OpenSSH κυκλοφόρησαν στις 5 Νοεμβρίου την έκδοση 10.6p2 με κρίσιμη διόρθωση ασφαλείας για συστήματα Linux με τη βιβλιοθήκη musl libc, όπου το sshd λειτουργεί χωρίς υποστήριξη PAM. Η αιτία βρίσκεται έξω από το sshd, όμως η ευπάθεια αξιοποιείται μέσω αυτού. Η Alpine Linux εξηγεί ότι, χωρίς PAM, το sshd ελέγχει τους κωδικούς με τη συνάρτηση crypt(). Η υλοποίηση της musl επιστρέφει ως ένδειξη σφάλματος τον χαρακτήρα «*» όταν ο κωδικός ξεπερνά τα 256 byte, και το ίδιο σύμβολο είναι αποθηκευμένο στους λογαριασμούς χωρίς κωδικό, όπως ο root στη βασική εικόνα της Alpine, οπότε ο έλεγχος περνά. Ο επιτιθέμενος στέλνει κωδικό μήκους 257 έως 1.024 byte και συνδέεται με την πρώτη προσπάθεια. Χρειάζεται επίσης να είναι ενεργή η ρύθμιση PasswordAuthentication, που είναι η προεπιλογή, και να υπάρχει ακόμη ένας τοπικός λογαριασμός με κωδικό κατακερματισμένο τύπου $5$ ή $6$. Επηρεάζονται οι εκδόσεις 3.16 έως 3.24 της Alpine και ο κλάδος edge. Ως μέτρο προστασίας συστήνεται αναβάθμιση και επανεκκίνηση του sshd ή, προσωρινά, η ρύθμιση PasswordAuthentication no. Η Alpine δεν θεωρεί επηρεασμένα τα συστήματα με ενεργό PAM (UsePAM yes) ή με κλειδωμένους λογαριασμούς. Όταν δημοσιεύθηκε η ανακοίνωση της Alpine δεν είχε αποδοθεί αριθμός CVE, και ο αριθμός CVE-2026-123158 προέρχεται από τον κατάλογο KEV.
Το GPUStack, πλατφόρμα ανοιχτού κώδικα για τη διαχείριση συστοιχιών GPU που τρέχουν μοντέλα τεχνητής νοημοσύνης, παρουσιάζει το πιο πολύπλευρο πρόβλημα. Η ανακοίνωση ασφαλείας του έργου (βαθμός 9,8 στα 10) εξηγεί ότι όλες οι εκδόσεις πριν από την 2.2.0, όταν η ρύθμιση force_auth_localhost είναι απενεργοποιημένη, όπως συμβαίνει από προεπιλογή, αντιμετωπίζουν κάθε αίτημα που φαίνεται να προέρχεται από τον ίδιο τον υπολογιστή (loopback) ως αίτημα του ενσωματωμένου διαχειριστή. Για να φανεί ένα εξωτερικό αίτημα ως τοπικό, αρκεί ένας αντίστροφος διακομιστής μεσολάβησης (reverse proxy) στο ίδιο μηχάνημα ή η πλαστή επικεφαλίδα X-GPUStack-Real-IP: 127.0.0.1. Ο επιτιθέμενος μπορεί έτσι να αλλάζει χρήστες και μοντέλα, να δημιουργεί μόνιμα κλειδιά API διαχειριστή, να διαβάζει διαπιστευτήρια των κόμβων εργασίας (workers) και μυστικά των παρόχων cloud και, μέσω του endpoint POST /v2/inference-backends/from-yaml, να εκτελεί κώδικα στους κόμβους. Η ανακοίνωση αναφέρει εκμετάλλευση σε εγκατάσταση με την έκδοση 2.1.1, όπου οι επιτιθέμενοι δημιούργησαν προσαρμοσμένα backends που άνοιγαν αντίστροφα κελύφη (reverse shells). Λύση είναι η 2.2.0 ή, προσωρινά, η ρύθμιση force_auth_localhost=true και η αφαίρεση της επικεφαλίδας στο όριο του δικτύου.
Στο FreeSWITCH, λογισμικό τηλεφωνίας VoIP ανοιχτού κώδικα της SignalWire, ένα μόνο μήνυμα SIP MESSAGE αρκεί για να εκτελεστεί εντολή στον διακομιστή. Η συνάρτηση που χειρίζεται τα εισερχόμενα μηνύματα χωρίζει το όνομα του παραλήπτη στο σύμβολο «+» και στέλνει το μήνυμα στο αντίστοιχο «πρωτόκολλο συνομιλίας». Το πρωτόκολλο «api» περνά το περιεχόμενο στον μηχανισμό εκτέλεσης εντολών API του FreeSWITCH. Οι εκδόσεις έως και την 1.11.2 επηρεάζονται με την προεπιλεγμένη ρύθμιση και το πρόβλημα χαρακτηρίζεται κρίσιμο (9,8). Η ανακοίνωση, που δημοσιεύθηκε στις 28 Οκτωβρίου, αναφέρει ότι η εκμετάλλευση έχει ήδη παρατηρηθεί στην πράξη και περιγράφει ως επιπτώσεις την εκτέλεση εντολών λειτουργικού συστήματος με τα δικαιώματα της διεργασίας του FreeSWITCH, την αποκάλυψη ρυθμίσεων και διαπιστευτηρίων και τον πλήρη έλεγχο των κλήσεων. Η έκδοση 1.11.3 κλείνει τη διαδρομή από προεπιλογή με τη νέα παράμετρο enable-chat-api-proto. Όποιος δεν μπορεί να αναβαθμίσει, μπορεί να ορίσει enable-chat=false στα προφίλ που δεν χρειάζονται μηνύματα συνομιλίας.
Οι νέες εγγραφές έρχονται λίγες ημέρες μετά τις ευπάθειες της Apple και του SonicWall και το ζεύγος ευπαθειών του Ivanti Connect Secure που πρόσθεσε η CISA στον κατάλογο. Για τους διαχειριστές, η σειρά που προκύπτει από την οδηγία BOD 26-04 και τις οδηγίες του KEV είναι σαφής: εντοπισμός των συστημάτων που εκτίθενται στο διαδίκτυο, αναβάθμιση και, όπου αυτό δεν είναι εφικτό, εφαρμογή των προσωρινών μέτρων των κατασκευαστών ή διακοπή της χρήσης του προϊόντος.
