CISA внесла критическую уязвимость Ray в KEV: RCE через браузер (Firefox и Safari). Исправление в Ray 2.52.0

17 августа 2026 года американское агентство CISA внесло CVE-2025-62593 в Known Exploited Vulnerabilities Catalog; запись присутствует в официальном фиде с catalogVersion 2026.08.19. В записи KEV уязвимость классифицирована как «Ray-Project Ray Code Injection Vulnerability» и описана так: "Ray-Project Ray contains a code injection vulnerability that could allow remote code execution. Developers using Ray as a development tool may be exposed to this vulnerability exploitable through Firefox and Safari." Срок устранения для гражданских федеральных ведомств — 20 августа 2026 года, то есть три дня с момента внесения, с обязательными действиями в соответствии с директивой BOD 26-04 и требованиями криминалистической сортировки (CISA KEV).

NVD присваивает оценки CVSS 4.0 9.4 (CRITICAL) и 3.1 8.8 (HIGH), слабости — CWE-94 и CWE-352; поле knownRansomwareCampaignUse имеет значение "Unknown" (NVD, CISA KEV). Уязвимость затрагивает версии Ray до 2.52.0 и исправлена начиная с 2.52.0 (advisory GHSA-q279-jhrf-cc6v).

Как работает атака: в advisory проекта объясняется, что Ray пытался блокировать запросы из браузера, проверяя, начинается ли заголовок User-Agent со строки "Mozilla" — "This heuristic is very weak". Firefox и Safari позволяют изменить этот заголовок через API fetch; Chrome не уязвим, поскольку отступает от спецификации (advisory GHSA-q279-jhrf-cc6v). Соединив обход с атакой DNS rebinding, вредоносный сайт или объявление, открытые разработчиком, могут отправить задания на неаутентифицированные эндпоинты /api/jobs/ и /api/job_agent/jobs/ локального экземпляра (обычно запущенного командой "ray start --head") и выполнить произвольные shell-команды (advisory). Аутентификация по токену есть, но по умолчанию отключена; браузер может служить мостом и к экземплярам, доступным только из внутренней сети (advisory).

Контекст и последствия: Ray — популярный в ИИ-инфраструктуре открытый движок распределённых вычислений, применяемый для обучения и инференса на GPU-кластерах и на машинах разработчиков. Внесение в KEV не означает новой уязвимости — CVE публична с 26 ноября 2025 года и обновлена 18 августа 2026 года — но фиксирует переход от демонстрационного эксплойта к эксплуатации в реальных атаках (CISA KEV; NVD). Запись KEV отсылает также к исправляющему коммиту 70e7c72780bdec075dba6cad1afe0832772bfe09 в репозитории ray-project/ray (CISA KEV; advisory GHSA-q279-jhrf-cc6v).

Что известно и что нет: CISA не публикует индикаторы, пострадавших и атрибуцию по эпизодам, послужившим основанием для внесения; агентство заявляет об эксплуатации, но не о её масштабе. Профильная пресса напомнила о кампаниях, задокументированных компаниями по безопасности: в ноябре 2025 года Oligo Security описала "ShadowRay 2.0"; согласно отчёту, открытые в интернет кластеры Ray превращали в самораспространяющийся ботнет для майнинга криптовалюты на GPU, с случаями кражи данных и учётных записей и DDoS-атаками; тот же отчёт упоминает более 200 000 доступных из интернета серверов Ray — именно доступных, не обязательно скомпрометированных. При этом отчёт в первую очередь указывает на другую, более старую CVE (CVE-2023-48022), а конкретная связь с CVE-2025-62593 не подтверждена CISA (Oligo Security; CISA KEV). Неизвестно ни какая доля установок всё ещё ниже 2.52.0, ни сколько организаций включили аутентификацию по токену. Официальные меры: обновиться до Ray 2.52.0 или новее и включить аутентификацию по токену (advisory GHSA-q279-jhrf-cc6v).

Сильнее всего впечатляет сам вектор: браузер разработчика как мост к локальным инструментам. Практическое напоминание: относитесь к ноутбукам разработчиков как к критической инфраструктуре, никаких чувствительных эндпоинтов без аутентификации и патчить сразу, ведь здесь выполнение кода приходит не с открытого сервера, а со страницы — или из объявления — открытой во вкладке рядом с терминалом, где работает `ray start --head`.