CISA inserisce nel KEV una falla critica di Ray: RCE via browser (Firefox e Safari). Patch in Ray 2.52.0

Il 17 agosto 2026 l’agenzia statunitense CISA ha inserito CVE-2025-62593 nel Known Exploited Vulnerabilities Catalog; la voce compare nel feed ufficiale con catalogVersion 2026.08.19. Nella voce KEV la falla è classificata come “Ray-Project Ray Code Injection Vulnerability” e descritta così: "Ray-Project Ray contains a code injection vulnerability that could allow remote code execution. Developers using Ray as a development tool may be exposed to this vulnerability exploitable through Firefox and Safari." Scadenza di remediation per le agenzie federali civili: 20 agosto 2026, pari a tre giorni dall’inserimento, con azioni richieste in linea con la direttiva BOD 26-04 e i requisiti di triage forense (CISA KEV).

NVD assegna punteggi CVSS 4.0 9.4 (CRITICAL) e 3.1 8.8 (HIGH), con debolezze CWE-94 e CWE-352; il campo knownRansomwareCampaignUse è "Unknown" (NVD, CISA KEV). La vulnerabilità interessa versioni di Ray precedenti alla 2.52.0 ed è corretta a partire dalla 2.52.0 (advisory GHSA-q279-jhrf-cc6v).

Come funziona l’attacco: l’advisory del progetto spiega che Ray tentava di bloccare le richieste provenienti dal browser verificando che l’header User-Agent iniziasse con "Mozilla" — "This heuristic is very weak". Firefox e Safari consentono di modificare quell’header tramite l’API fetch; Chrome non risulta vulnerabile perché si discosta dalla specifica (advisory GHSA-q279-jhrf-cc6v). Combinando l’aggiramento con un attacco di DNS rebinding, un sito o un annuncio malevolo visitato dallo sviluppatore può inviare job agli endpoint non autenticati /api/jobs/ e /api/job_agent/jobs/ di un’istanza locale (tipicamente avviata con "ray start --head") ed eseguire comandi shell arbitrari (advisory). L’autenticazione a token è disponibile ma disattivata per impostazione predefinita; il browser può fungere da ponte anche verso istanze raggiungibili solo dalla rete interna (advisory).

Contesto e impatto: Ray è un motore di calcolo distribuito open source molto diffuso nell’infrastruttura AI, usato per addestramento e inferenza su cluster di GPU e sulle macchine di sviluppo. L’inclusione in KEV non introduce una nuova falla — il CVE è pubblico dal 26 novembre 2025 ed è stato aggiornato il 18 agosto 2026 — ma segnala il passaggio da exploit dimostrativo a sfruttamento in attacchi reali (CISA KEV; NVD). La voce KEV rimanda anche al commit di correzione 70e7c72780bdec075dba6cad1afe0832772bfe09 nel repository ray-project/ray (CISA KEV; advisory GHSA-q279-jhrf-cc6v).

Cosa sappiamo e cosa no: CISA non pubblica indicatori, vittime o attribuzioni per gli episodi che hanno motivato l’inserimento; dichiara lo sfruttamento ma non la portata. La stampa specializzata ha richiamato campagne documentate da aziende di sicurezza: nel novembre 2025 Oligo Security ha documentato "ShadowRay 2.0"; secondo il suo report, cluster Ray esposti sono stati trasformati in una botnet auto-propagante per il mining di criptovalute su GPU, con casi di furto di dati e credenziali e attacchi DDoS; lo stesso report cita oltre 200.000 server Ray esposti su internet — esposti, non necessariamente compromessi. Quel report indica in primis un CVE diverso e più vecchio (CVE-2023-48022), e il legame specifico con CVE-2025-62593 non è confermato da CISA (Oligo Security; CISA KEV). Non sono noti né la quota di installazioni ancora sotto la 2.52.0 né quante organizzazioni abbiano attivato l’autenticazione a token. Mitigazioni ufficiali: aggiornare a Ray 2.52.0 o successive e attivare l’autenticazione a token (advisory GHSA-q279-jhrf-cc6v).

Il dettaglio che più colpisce è il vettore: il browser dello sviluppatore come ponte verso strumenti locali. Promemoria pratico: trattiamo i laptop dei dev come infrastruttura critica, niente endpoint sensibili non autenticati e patch subito, perché qui l’esecuzione di codice non arriva da un server esposto, ma da una pagina — o da un annuncio — aperta nella scheda accanto al terminale in cui gira `ray start --head`.