--- title: "CISA-KEV: GPUStack, FreeSWITCH und Aspera Faspex werden aktiv angegriffen" date: 2026-11-10T19:22:55+01:00 modified: 2026-11-10T19:22:55+01:00 category: sicherheit type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/cisa-kev-gpustack-freeswitch-aspera-faspex-angriffe keywords: - CISA KEV - GPUStack - FreeSWITCH - IBM Aspera Faspex - CVE-2026-102895 - CVE-2026-116779 - CVE-2026-123218 - Aktiv ausgenutzt reading_time: 4 --- # CISA-KEV: GPUStack, FreeSWITCH und Aspera Faspex werden aktiv angegriffen Die US-Cybersicherheitsbehörde CISA hat am 9. November 2026 vier Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen: in GPUStack, SignalWire FreeSWITCH, IBM Aspera Faspex und OpenSSH. Für alle vier gilt für US-Bundesbehörden eine Frist bis zum 12. November. Drei Tage sind unter der Richtlinie BOD 26-04 inzwischen die übliche Frist. Drei der vier Lücken haben laut den Advisories CVSS 9.8. Wer GPUStack, FreeSWITCH oder Aspera Faspex betreibt, sollte heute prüfen, ob die korrigierte Version läuft. Die korrigierten Versionen von GPUStack und FreeSWITCH gibt es seit Juni und August, die zugehörigen Advisories erschienen allerdings erst Ende Juli und Ende Oktober. Zur OpenSSH-Lücke CVE-2026-123158 auf Alpine und anderen musl-Systemen gibt es bei S-EDV bereits einen eigenen Artikel. ## Was ist passiert? Bei allen vier Einträgen verweist CISA wie seit Juni üblich auf die Richtlinie BOD 26-04 und auf ihre Vorgaben zur forensischen Prüfung. Ob Ransomware-Gruppen die Lücken nutzen, ist laut CISA unbekannt. Bei GPUStack (CVE-2026-102895), einer Plattform zum Betrieb von KI-Modellen auf GPU-Clustern, behandelt die Software laut Advisory jede Anfrage von der Loopback-Adresse als Administrator, solange `force_auth_localhost` auf dem Standardwert `false` steht. Von außen klappt das über einen Reverse Proxy auf demselben Host oder über einen gefälschten Header `X-GPUStack-Real-IP: 127.0.0.1`. Über die Admin-Funktion `POST /v2/inference-backends/from-yaml` lässt sich dann Code auf den Workern ausführen. Laut Advisory wurde eine Installation mit Version 2.1.1 angegriffen, die Angreifer legten eigene Backends mit Reverse Shells an. Bei FreeSWITCH (CVE-2026-116779) kann eine eingehende SIP-Nachricht vom Typ MESSAGE laut Advisory das interne „api“-Chatprotokoll auswählen und so beliebige FreeSWITCH-API-Befehle starten, bis hin zu Betriebssystembefehlen mit den Rechten des FreeSWITCH-Prozesses. Die Ausnutzung wurde laut SignalWire beobachtet, Details nennt der Hersteller nicht. Bei IBM Aspera Faspex (CVE-2026-123218) kann laut IBM-Bulletin vom 7. November ein angemeldeter Nutzer mit einer präparierten Nachricht volle Administratorrechte erlangen. Der CVSS-Vektor von IBM nennt dagegen keine nötigen Rechte. Eine Ausnutzung erwähnt IBM nicht, sie ist nur durch den KEV-Eintrag belegt. ## Wer ist betroffen? - GPUStack vor Version 2.2.0 (behoben seit 18. Juni 2026, aktuell ist 2.3.0). - FreeSWITCH bis einschließlich 1.11.2 (behoben in 1.11.3 vom 28. August 2026). Betroffen ist jedes SIP-Profil, das eingehende MESSAGE annimmt, laut Advisory die Standardeinstellung. - IBM Aspera Faspex 5.0.0 bis 5.0.19 (behoben in 5.0.19 PL1 für Linux). - OpenSSH vor 10.6p2 unter Linux mit musl libc ohne PAM, etwa Alpine Linux. ## Wie kritisch ist das? Die Advisories vergeben je CVSS 3.1 9.8 mit einem Vektor über das Netz und ohne nötige Anmeldung, bei Faspex im Widerspruch zur Beschreibung. Bei FreeSWITCH reicht laut Advisory dort, wo eingehende MESSAGE eine Anmeldung verlangen (Standard seit 1.10.7), ein beliebiges Konto auf dem Profil. Installationen, die noch Benutzer ohne Passwort aus der Beispielkonfiguration enthalten, brauchen nicht einmal das. Bei GPUStack führt der Weg zu vollem Adminzugang und Codeausführung auf den GPU-Workern, inklusive Zugriff auf hinterlegte Cloud-Zugangsdaten. ## Was sollten Admins jetzt tun? - Inventar: Instanzen von GPUStack, FreeSWITCH (auch eingebettet in andere Telefonieprodukte) und Aspera Faspex erfassen und Versionen ablesen. - GPUStack auf 2.2.0 oder neuer aktualisieren. Übergangsweise `force_auth_localhost=true` setzen und den Header `X-GPUStack-Real-IP` am Proxy entfernen. Danach unbekannte Inference-Backends und neue Admin-API-Schlüssel suchen. - FreeSWITCH auf 1.11.3 aktualisieren. Wo das nicht sofort geht, `enable-chat=false` auf allen Profilen ohne SIP-Chat setzen. `auth-messages` allein reicht laut SignalWire nicht. Alle Verzeichnisbenutzer ohne Passwort entfernen, in der Beispielkonfiguration „default“ und das Skinny-Beispiel. Das schließt die Lücke laut Advisory nicht, beschränkt sie aber auf angemeldete Nutzer. - Aspera Faspex auf 5.0.19 PL1 bringen, IBM nennt keinen Workaround. - OpenSSH auf Alpine und musl-Systemen auf 10.6p2 oder neuer aktualisieren. - Nach einer Kompromittierung Zugangsdaten und API-Schlüssel der betroffenen Dienste wechseln. ## Einordnung für Unternehmen Bei GPUStack und FreeSWITCH lagen die korrigierten Versionen vor den Advisories vor, wer nur auf Sicherheitsmeldungen reagiert, hat den Fix also womöglich erst spät als dringend erkannt. Wann die Angriffe begannen, ist nicht bekannt. Gefährdet sind vor allem Dienste, die als Projekt gestartet sind, etwa eine KI-Testumgebung oder eine selbst gebaute Telefonanlage. Solche Systeme gehören ins Inventar und in den regulären Update-Zyklus, auch wenn sie nicht zur Kern-IT zählen. ## Passende Anleitungen auf S-EDV - [SSHole CVE-2026-123158: Erste Angriffsversuche auf OpenSSH-Lücke unter Alpine](https://s-edv.com/news/sshole-cve-2026-123158-angriffsversuche-alpine-openssh) - [PatchMon mit Docker Compose: Linux-Patches zentral überwachen](https://s-edv.com/anleitungen/patchmon-docker-compose-linux-patch-management) ## Quellen - [CISA: KEV-Katalog, Version 2026.11.09 (offizieller Spiegel auf GitHub)](https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json) - [GPUStack: Advisory GHSA-gj9m-f8ph-pmhr](https://github.com/gpustack/gpustack/security/advisories/GHSA-gj9m-f8ph-pmhr) - [SignalWire: Advisory GHSA-mg63-h38w-8p9p zu FreeSWITCH](https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p) - [IBM: Security Bulletin zu Aspera Faspex](https://www.ibm.com/support/pages/node/7295921) - [SecurityWeek: Bericht zu den KEV-Einträgen](https://www.securityweek.com/ibm-aspera-faspex-signalwire-freeswitch-vulnerabilities-exploited-in-attacks/) - [The Hacker News: Bericht zur CISA-Warnung](https://thehackernews.com/2026/11/cisa-warns-of-active-exploitation-of.html)