CISA, açık kaynak yapay zekâ çerçevesi Ray'deki kritik açığı istismar listesine ekledi

CISA, açık kaynak dağıtık hesaplama ve yapay zekâ çerçevesi Ray’de CVE-2025-62593 olarak izlenen ve CVSS 4.0 ölçeğinde 9,4 puan alan bir açığı “Bilinen İstismar Edilen Açıklar” (KEV) kataloğuna ekledi. Açık, Ray 2.52.0 öncesi sürümleri etkiliyor ve federal kurumlara yalnızca 3 günlük bir remediation süresi tanındı — CISA’nın 17 Ağustos’ta kataloğa eklediği açığın giderim tarihi 20 Ağustos olarak belirlendi.

Açığın kök nedeni, Ray’in /api/jobs ve /api/job_agent/jobs/ gibi HTTP API uç noktalarını işleme biçiminde yatıyor. Bir saldırgan bu arayüzleri kötüye kullanarak savunmasız bir yerel Ray örneğine karşı keyfi kod gönderebiliyor veya çalıştırabiliyor; Mozilla Firefox ve Apple Safari gibi tarayıcılar üzerinden DNS rebinding saldırısı yoluyla uzaktan kod çalıştırma da mümkün. Mart 2026’daki bir BitSight raporuna göre RondoDox DDoS botnet’inin arkasındaki tehdit aktörleri, açık kamuya açıklanmadan iki gün önce bu zafiyeti kendi araç setlerine dahil etmişti. Ayrıca yamasız Ray örnekleri, “ShadowRay 2.0” adlı bir kampanya kapsamında NVIDIA GPU’lu kümeleri kendi kendini çoğaltan bir kripto para madenciliği botnet’ine dönüştürmeyi hedefleyen saldırılara da maruz kaldı.

Güvenlik ekiplerine önerilen çözüm: Ray 2.52.0 veya sonrasına yükseltmek, eski bağımlılıkları içeren imajları yeniden derlemek ve paket yönetim araçlarının artık savunmasız bir Ray sürümünü tutmadığını doğrulamak.