Trzy niepowiązane firmy, identyczny kalendarz

Ray to otwartoźródłowy framework napisany w Pythonie, używany do uruchamiania obciążeń treningowych i inferencyjnych AI i ML, mający ponad 43 500 gwiazdek na GitHubie i szerokie zastosowanie w firmowej infrastrukturze AI. Luka oznaczona jako CVE-2025-62593, z oceną CVSS 9,4, pozwalała atakującemu połączyć DNS rebinding ze zwykłymi odwiedzinami przeglądarki, dzięki czemu to sama maszyna programisty wysyłała do lokalnego klastra Ray żądania wykonania kodu, ponieważ weryfikacja uwierzytelnienia punktów końcowych API Ray sprawdzała jedynie, czy nagłówek User-Agent zaczyna się od słowa Mozilla, wartości, którą każda przeglądarka wysyła domyślnie.

GitLab, platforma do zarządzania kodem źródłowym i CI/CD stosowana w całej branży, ujawnił CVE-2026-19478 17 sierpnia 2026 roku: dyrektywę GraphQL z oceną CVSS 9,4, która pozwalała nieuwierzytelnionemu atakującemu modyfikować lub usuwać publiczne projekty i dane użytkowników przez sieć bez jakiejkolwiek interakcji użytkownika. Apple załatało CVE-2026-65400 6 sierpnia 2026 roku, błąd zarządzania stanem w walidacji poświadczeń Screen Sharing w macOS, wbudowanej usługi zdalnego pulpitu nasłuchującej na porcie sieciowym 5900. Trzy niepowiązane organizacje, trzy niepowiązane produkty, sześciodniowe okno czasowe.

Od łatki do masowego wykorzystania w dni, nie miesiące

Botnet DDoS RondoDox wbudował działający exploit na lukę w Ray już 24 listopada 2025 roku, dwa pełne dni przed tym, jak luka w ogóle została publicznie ujawniona 26 listopada 2025 roku, ponieważ krążył już dowód koncepcji. Druga kampania, ShadowRay 2.0, celowo szuka niezałatanych klastrów Ray działających na kartach graficznych NVIDIA i zamienia je w samoreplikujące się botnety do kopania kryptowalut, co pokazuje, że atakujący świadomie celują teraz w infrastrukturę treningową AI ze względu na jej surową moc obliczeniową.

Luka Screen Sharing w Apple podążała tym samym schematem przyspieszenia. Łatka pojawiła się 6 sierpnia 2026 roku, holenderskie narodowe centrum cyberbezpieczeństwa (NCSC-NL) potwierdziło aktywne wykorzystywanie luki przeciwko Makom dostępnym z otwartego internetu, a w każdym potwierdzonym przypadku atakujący uzyskiwał dostęp root i instalował koparkę kryptowaluty Monero. CISA podniosła ocenę krytyczności luki z 7,1 do 9,8 dnia 14 sierpnia 2026 roku, osiem dni po łatce, po potwierdzeniu, że exploit stał się możliwy do automatyzacji na dużą skalę. CISA dodała lukę w Ray do swojego katalogu Known Exploited Vulnerabilities 17 sierpnia 2026 roku, z terminem do 20 sierpnia 2026 roku dla amerykańskich agencji federalnych.

Co to oznacza dla tempa łatania

Nic z tego nie jest egzotyczne. Ray działa na klastrach treningowych AI, GitLab znajduje się w łańcuchu dostaw oprogramowania, a Screen Sharing jest obecny na każdym Maku, którym zespół IT zarządza zdalnie, trzy zwykłe elementy infrastruktury, których większość organizacji już używa. Luka, która kiedyś istniała między wydaniem łatki przez dostawcę a masowym wykorzystaniem przez przestępców, kurczy się od jakiegoś czasu, a kalendarz Ray pokazuje, że może teraz stać się ujemna: exploit został uzbrojony, zanim opinia publiczna w ogóle dowiedziała się, że luka istnieje.

Comiesięczny lub kwartalny cykl łatania nie jest już obronną postawą bezpieczeństwa dla niczego, co ma powierzchnię administracyjną lub deweloperską dostępną z sieci, a samodzielnie hostowany GitLab, klastry treningowe AI i floty Maków zarządzanych zdalnie w pełni mieszczą się w tej kategorii. Praktyczną odpowiedzią jest śledzenie liczby dni od wydania łatki do pełnego wdrożenia jako śledzonego wskaźnika na poziomie zarządu dla każdej z tych trzech kategorii, ze szczególną uwagą na samodzielnie hostowaną infrastrukturę AI i ML, ponieważ jest to nowsza kategoria, dla której większość zespołów bezpieczeństwa nie zbudowała jeszcze szybkiego procesu łatania.

Czytaj dalej: Lukę w SAP Commerce Cloud wykorzystano, zanim większość zdążyła ją załatać  |  Dwa błędy SharePoint tworzą teraz pełny RCE