Tre orelaterade leverantörer, en identisk tidslinje
Ray är ett Python-baserat open source-ramverk som används för att köra AI- och ML-tränings- och inferensarbetslaster, med över 43 500 stjärnor på GitHub och utbredd användning inom företags AI-infrastruktur. En sårbarhet registrerad som CVE-2025-62593, med en CVSS-poäng på 9,4, gjorde det möjligt för en angripare att kombinera DNS-rebinding med ett vanligt webbläsarbesök, så att utvecklarens egen maskin skickade förfrågningar om kodkörning till ett lokalt Ray-kluster, eftersom autentiseringskontrollen på Rays API-slutpunkter bara kontrollerade att User-Agent-huvudet började med ordet Mozilla, ett värde som varje webbläsare skickar som standard.
GitLab, plattformen för källkodshantering och CI/CD som används i hela branschen, avslöjade CVE-2026-19478 den 17 augusti 2026: ett GraphQL-direktiv med en CVSS-poäng på 9,4 som gjorde det möjligt för en oautentiserad angripare att ändra eller radera offentliga projekt och användardata över nätverket utan någon användarinteraktion. Apple patchade CVE-2026-65400 den 6 augusti 2026, ett tillståndsfel i inloggningsvalideringen av macOS Screen Sharing, den inbyggda fjärrskrivbordstjänsten som lyssnar på nätverksport 5900. Tre orelaterade organisationer, tre orelaterade produkter, ett fönster på sex dagar.
Från patch till massutnyttjande på dagar, inte månader
RondoDox DDoS-botnät byggde in en fungerande exploit för Ray-sårbarheten redan den 24 november 2025, hela två dagar innan sårbarheten ens offentliggjordes den 26 november 2025, eftersom ett proof-of-concept redan cirkulerade. En andra kampanj, ShadowRay 2.0, letar specifikt efter opatchade Ray-kluster på NVIDIA-GPU:er och gör om dem till självreplikerande kryptobrytnings-botnät, vilket visar att angripare nu medvetet riktar in sig på AI-träningsinfrastruktur för dess råa beräkningskraft.
Apples Screen Sharing-sårbarhet följde samma accelerationsmönster. Patchen släpptes den 6 augusti 2026, det nederländska nationella cybersäkerhetscentret (NCSC-NL) bekräftade aktivt utnyttjande mot Mac-datorer som var nåbara från det öppna internet, och i varje bekräftat fall fick angriparen rootåtkomst och installerade en Monero-kryptobrytare. CISA höjde sårbarhetens allvarlighetspoäng från 7,1 till 9,8 den 14 augusti 2026, åtta dagar efter patchen, efter att ha bekräftat att exploiten hade blivit automatiserbar i stor skala. CISA lade till Ray-sårbarheten i sin Known Exploited Vulnerabilities-katalog den 17 augusti 2026, med en frist till den 20 augusti 2026 för amerikanska federala myndigheter.
Vad detta betyder för ert patchtempo
Inget av detta är exotiskt. Ray körs på AI-träningskluster, GitLab sitter i mjukvarans försörjningskedja, och Screen Sharing finns på varje Mac som ett it-team administrerar på distans, tre vanliga infrastrukturdelar som de flesta organisationer redan använder. Gapet som brukade finnas mellan att en leverantör släpper en patch och att kriminella utnyttjar den i stor skala har krympt ett tag, och Rays tidslinje visar att det nu kan bli negativt: exploiten vapniserades innan allmänheten ens visste att sårbarheten fanns.
En månatlig eller kvartalsvis patchcykel är inte längre en försvarbar säkerhetshållning för något med en nätverksvänd admin- eller utvecklaryta, och självhostad GitLab, AI-träningskluster och fjärrhanterade Mac-flottor faller alla tydligt inom den kategorin. Det praktiska svaret är att följa antal dagar från patch-release till full utrullning som ett bevakat nyckeltal på styrelsenivå för var och en av dessa tre kategorier, med särskild uppmärksamhet på självhostad AI- och ML-infrastruktur, eftersom det är en nyare kategori som de flesta säkerhetsteam ännu inte har byggt en snabb patchprocess för.
Läs vidare: SAP Commerce Cloud-brist utnyttjades innan de flesta hann patcha | Två SharePoint-buggar kedjas nu till full RCE
