CVE-2026-114053: vLLM le pasa al AutoProcessor la revisión que elige el cliente, y /tokenize termina ejecutando Python
vLLM toma la revision que viene en los parámetros multimodales del request y se la pasa a AutoProcessor.from_pretrained de Transformers. Con trust_remote_code activado, el cliente decide qué versión del código dinámico del processor se carga: si el repo del modelo servido tiene una revisión maliciosa, un request multimodal sin auth a /tokenize ejecuta Python arbitrario en el proceso de la API (CWE-94). CVSS v4 9.2 / v3.1 8.1. Afecta 0.7.3 hasta antes de 0.31.0; fix en 0.31.0. Es la clase de siempre, trust_remote_code, pero ahora con el pin de versión en manos del atacante.
vLLM 0.32.0 cierra nueve advisories: pickle.loads vía handles SHM forjados y Ghostscript vía imágenes EPS
El 20 de octubre vLLM publicó nueve advisories, todos con fix en 0.32.0. Los dos más pesados: con --mm-processor-cache-type shm, un caller autenticado puede forjar un handle de memoria compartida que apunta a bytes propios y el worker termina en pickle.loads(), aun sin VLLM_ALLOW_INSECURE_SERIALIZATION (GHSA-6757-hggm-hp2w, CVSS 8.8 en el advisory); y ImageMediaIO deja que Pillow autodetecte el formato, así que un EPS etiquetado como image/png llega a Ghostscript y, en hosts con CVE-2024-29510, ejecuta comandos (GHSA-h3rc-j82p-2c3h, 8.1). El resto son DoS de un solo request (imágenes DeepSeek-OCR con píxeles que suman 0, token ids fuera de vocabulario, Jinja2 sin límite), un bypass de trust_request_chat_template en la Responses API y CORS permisivo por defecto. Si servís multimodal, actualizá.
CVE-2026-111770 y cinco más: el SDK TypeScript de MCP entregaba respuestas de un cliente a otro
El 20 de octubre salieron seis advisories del SDK TypeScript de MCP. El principal (CVE-2026-111770, CVSS 7.7): si creás el transport o el McpServer una sola vez al arrancar, como mostraban los README de hono, express, fastify y node, los mensajes se asociaban a una conexión solo por el id JSON-RPC, y como los clientes numeran desde 0, un cliente recibía respuestas de otro. Los demás: un request de menos de 4 MiB que agota la memoria en la validación (CVE-2026-111768, 7.5; ojo, actualizar solo no alcanza, hay que configurar el nuevo límite), bearer auth que no chequea el aud del token (CVE-2026-111771), tasks experimentales sin atar a la sesión (CVE-2026-111767, 8.6) y transports cliente que siguen redirects cross-origin reenviando headers, refresh_token y client_secret (CVE-2026-111769). Fix en @modelcontextprotocol/sdk 1.32.0 y @modelcontextprotocol/server/client 2.3.0.
CVE-2026-111764: el SDK Java de A2A trae un task store que no autoriza nada por defecto, más SSRF sin auth
Cinco advisories del SDK Java del protocolo Agent2Agent el 20 de octubre. El constructor sin argumentos de InMemoryTaskStore deja authorizationProvider = null, así que cualquiera lee tasks ajenas (CVE-2026-111764, CVSS 7.5, CWE-1188). BasePushNotificationSender hace POST a la URL que manda el cliente, una SSRF sin credenciales hacia endpoints internos y de metadata cloud (CVE-2026-111761, 5.8). Completan la lista credenciales mandadas bajo un nombre de header que controla el servidor (CVE-2026-111763), credenciales de push logueadas en claro (CVE-2026-111762) y un fix de redirects incompleto en el cliente Android que reenvía X-API-Key a otro host (CVE-2026-111765). Fix en 1.3.0.Final (1.3.2.Final para el cliente Android).
CVE-2026-114106: las tools de lectura del agente de HKUDS Vibe-Trading leen cualquier archivo del servidor
La tool read_document del agente LLM de Vibe-Trading (vibe-trading-ai en PyPI) no tiene ningún chequeo de sandbox, y algunas tools protegidas por safe_user_path también se escapan (CWE-22). Cualquiera que pueda prompt-ear al agente le pide /etc/shadow, el entorno del proceso con las API keys o las credenciales de root, sin privilegios ni interacción. CVSS v4 8.7 / v3.1 7.5. Afecta 0.1.0 hasta antes de 0.1.7; fix en 0.1.7. Una tool de archivos sin sandbox es un exfiltrador que habla en lenguaje natural.
La FCA británica quiere que las financieras reporten fallas de IA y también los casi-incidentes
Jessica Rusu, chief data officer de la FCA, dijo que el reporte de incidentes de las firmas financieras tiene que extenderse a fallas significativas de IA y near-misses, no solo a los incidentes mayores que ya cubren las reglas actuales. El argumento: la IA cada vez más autónoma necesita responsables claros, porque mal gobernada causa daño al consumidor, vulnerabilidades y fallas operativas a velocidad y escala. Los near-misses de IA agéntica pasan a ser prioridad regulatoria. Todavía no hay borrador, plazos ni consulta formal.
Tendencias Destacadas
Los protocolos de agentes tuvieron su día de parches: MCP (TypeScript) y A2A (Java) publicaron once advisories entre los dos el mismo 20 de octubre, y el patrón se repite en ambos: estado compartido sin atar a la sesión o al usuario, defaults que no autorizan nada y redirects que se llevan credenciales.
El serving multimodal es la nueva superficie de ataque de vLLM: casi todo lo de esta semana entra por imágenes, audio, caches multimodales o parámetros de processor, no por el prompt de texto.
CVE-2026-114053: vLLM forwards a client-chosen revision to AutoProcessor, and /tokenize ends up running Python
vLLM takes the revision from a request's multimodal parameters and hands it to Transformers' AutoProcessor.from_pretrained. With trust_remote_code enabled, the client decides which revision of the processor's dynamic code gets loaded: if the served model repository contains a malicious revision, an unauthenticated multimodal request to /tokenize runs arbitrary Python in the API process (CWE-94). CVSS v4 9.2 / v3.1 8.1. Affects 0.7.3 up to, but not including, 0.31.0; fixed in 0.31.0. It is the usual trust_remote_code class, except the attacker now holds the version pin.
vLLM 0.32.0 closes nine advisories: pickle.loads via forged SHM handles and Ghostscript via EPS images
On 20 October vLLM published nine advisories, all fixed in 0.32.0. The two heaviest: with --mm-processor-cache-type shm, an authenticated caller can forge a shared-memory handle pointing at their own staged bytes and the worker reaches pickle.loads(), even without VLLM_ALLOW_INSECURE_SERIALIZATION (GHSA-6757-hggm-hp2w, CVSS 8.8 per the advisory body); and ImageMediaIO lets Pillow autodetect formats, so an EPS labelled image/png reaches Ghostscript and, on hosts with CVE-2024-29510, executes commands (GHSA-h3rc-j82p-2c3h, 8.1). The rest are single-request DoS bugs (DeepSeek-OCR images whose pixels sum to 0, out-of-vocabulary token ids, unbounded Jinja2 rendering), a trust_request_chat_template bypass in the Responses API, and permissive default CORS. If you serve multimodal models, upgrade.
CVE-2026-111770 and five more: the MCP TypeScript SDK delivered one client's responses to another
Six MCP TypeScript SDK advisories landed on 20 October. The headline (CVE-2026-111770, CVSS 7.7): if you create the transport or the McpServer once at startup, as the hono, express, fastify and node READMEs showed, messages were matched to a connection by JSON-RPC id alone, and since clients number from 0, one client received another's responses. The rest: a sub-4 MiB request that exhausts memory during validation (CVE-2026-111768, 7.5; upgrading alone changes nothing, you must configure the new limit), bearer auth that never checked the token's aud (CVE-2026-111771), experimental tasks not tied to their session (CVE-2026-111767, 8.6), and client transports that followed cross-origin redirects while re-sending custom headers, refresh_token and client_secret (CVE-2026-111769). Fixed in @modelcontextprotocol/sdk 1.32.0 and @modelcontextprotocol/server/client 2.3.0.
CVE-2026-111764: the A2A Java SDK ships a task store that authorizes nothing by default, plus unauthenticated SSRF
Five advisories for the Agent2Agent protocol's Java SDK on 20 October. The no-arg InMemoryTaskStore constructor sets authorizationProvider = null, so anyone can read other users' tasks (CVE-2026-111764, CVSS 7.5, CWE-1188). BasePushNotificationSender POSTs to whatever URL the client supplies, an unauthenticated SSRF into internal and cloud-metadata endpoints (CVE-2026-111761, 5.8). The list is rounded out by credentials sent under a server-controlled header name (CVE-2026-111763), push credentials logged in cleartext (CVE-2026-111762), and an incomplete redirect fix in the Android client that forwards X-API-Key to another host (CVE-2026-111765). Fixed in 1.3.0.Final (1.3.2.Final for the Android client).
CVE-2026-114106: HKUDS Vibe-Trading's agent file-read tools reach any file on the server
The read_document tool in Vibe-Trading's LLM agent (vibe-trading-ai on PyPI) has no sandbox checks at all, and some tools guarded by safe_user_path can be escaped too (CWE-22). Anyone who can prompt the agent can ask for /etc/shadow, the process environment holding API keys, or root credentials, with no privileges or user interaction. CVSS v4 8.7 / v3.1 7.5. Affects 0.1.0 up to, but not including, 0.1.7; fixed in 0.1.7. An unsandboxed file tool is an exfiltration channel that takes requests in plain English.
The UK FCA wants financial firms to report AI failures, and the near-misses too
Jessica Rusu, the FCA's chief data, information and intelligence officer, said financial firms' incident reporting must extend to significant AI failures and near-misses, not just the major incidents existing rules already cover. The reasoning: increasingly autonomous AI needs clear accountability, because poorly governed AI causes consumer harm, cyber vulnerabilities and operational failures at speed and scale. Near-miss reporting for agentic AI is now a regulatory priority. There is no draft rule, deadline or formal consultation yet.
Notable Trends
Agent protocols had their patch day: MCP (TypeScript) and A2A (Java) published eleven advisories between them on 20 October, and the pattern repeats across both: shared state not tied to a session or user, defaults that authorize nothing, and redirects that carry credentials away.
Multimodal serving is vLLM's new attack surface: nearly everything this week comes in through images, audio, multimodal caches or processor parameters, not the text prompt.
CVE-2026-114053 : vLLM transmet à AutoProcessor la révision choisie par le client, et /tokenize finit par exécuter du Python
vLLM prend la revision fournie dans les paramètres multimodaux de la requête et la passe à AutoProcessor.from_pretrained de Transformers. Avec trust_remote_code activé, le client choisit quelle révision du code dynamique du processor est chargée : si le dépôt du modèle servi contient une révision malveillante, une requête multimodale non authentifiée sur /tokenize exécute du Python arbitraire dans le processus de l'API (CWE-94). CVSS v4 9.2 / v3.1 8.1. Versions 0.7.3 à 0.31.0 exclue ; corrigé en 0.31.0.
vLLM 0.32.0 corrige neuf advisories : pickle.loads via des handles SHM forgés et Ghostscript via des images EPS
Le 20 octobre, vLLM a publié neuf advisories, tous corrigés en 0.32.0. Les deux plus graves : avec --mm-processor-cache-type shm, un appelant authentifié peut forger un handle de mémoire partagée pointant vers ses propres octets et le worker atteint pickle.loads(), même sans VLLM_ALLOW_INSECURE_SERIALIZATION (GHSA-6757-hggm-hp2w, CVSS 8.8) ; et ImageMediaIO laisse Pillow détecter le format, donc un EPS étiqueté image/png atteint Ghostscript et, sur les hôtes vulnérables à CVE-2024-29510, exécute des commandes (GHSA-h3rc-j82p-2c3h, 8.1). Le reste : des DoS en une requête, un contournement de trust_request_chat_template dans la Responses API et un CORS permissif par défaut.
CVE-2026-111770 et cinq autres : le SDK TypeScript de MCP livrait les réponses d'un client à un autre
Six advisories du SDK TypeScript de MCP ont été publiés le 20 octobre. Le principal (CVE-2026-111770, CVSS 7.7) : si vous créez le transport ou le McpServer une seule fois au démarrage, comme le montraient les README hono, express, fastify et node, les messages étaient associés à une connexion par le seul id JSON-RPC, et comme les clients numérotent à partir de 0, un client recevait les réponses d'un autre. Les autres : une requête de moins de 4 Mio qui épuise la mémoire (CVE-2026-111768, 7.5 ; la mise à jour seule ne suffit pas), un bearer auth sans vérification de l'aud (CVE-2026-111771), des tasks expérimentales non liées à la session (CVE-2026-111767, 8.6) et des redirections cross-origin qui renvoient headers et secrets OAuth (CVE-2026-111769). Corrigé en @modelcontextprotocol/sdk 1.32.0 et 2.3.0.
CVE-2026-111764 : le SDK Java d'A2A livre un task store qui n'autorise rien par défaut, plus une SSRF non authentifiée
Cinq advisories pour le SDK Java du protocole Agent2Agent le 20 octobre. Le constructeur sans argument d'InMemoryTaskStore fixe authorizationProvider = null, donc n'importe qui lit les tasks des autres (CVE-2026-111764, CVSS 7.5). BasePushNotificationSender envoie un POST vers l'URL fournie par le client, une SSRF non authentifiée vers les endpoints internes et de métadonnées cloud (CVE-2026-111761, 5.8). S'y ajoutent des identifiants envoyés sous un nom de header contrôlé par le serveur, des identifiants journalisés en clair et un correctif de redirection incomplet côté Android (CVE-2026-111765). Corrigé en 1.3.0.Final (1.3.2.Final pour Android).
CVE-2026-114106 : les outils de lecture de l'agent HKUDS Vibe-Trading accèdent à n'importe quel fichier du serveur
L'outil read_document de l'agent LLM de Vibe-Trading (vibe-trading-ai sur PyPI) n'a aucune vérification de sandbox, et certains outils protégés par safe_user_path peuvent aussi être contournés (CWE-22). Quiconque peut envoyer un prompt à l'agent peut lui demander /etc/shadow, l'environnement du processus contenant les clés API ou les identifiants root, sans privilège ni interaction. CVSS v4 8.7 / v3.1 7.5. Versions 0.1.0 à 0.1.7 exclue ; corrigé en 0.1.7.
La FCA britannique veut que les établissements financiers signalent les pannes d'IA, et aussi les quasi-incidents
Jessica Rusu, responsable des données de la FCA, a déclaré que le signalement d'incidents des établissements financiers doit s'étendre aux pannes significatives d'IA et aux quasi-incidents, et pas seulement aux incidents majeurs déjà couverts. L'argument : une IA de plus en plus autonome exige une responsabilité claire, car mal gouvernée elle cause des préjudices, des vulnérabilités et des pannes à grande vitesse et à grande échelle. Aucun projet de règle, calendrier ou consultation formelle pour l'instant.
Tendances Notables
Les protocoles d'agents ont eu leur journée de correctifs : MCP (TypeScript) et A2A (Java) ont publié onze advisories à eux deux le 20 octobre, avec le même schéma : état partagé non lié à la session ou à l'utilisateur, valeurs par défaut qui n'autorisent rien, et redirections qui emportent des identifiants.
Le serving multimodal est la nouvelle surface d'attaque de vLLM : presque tout cette semaine arrive par les images, l'audio, les caches multimodaux ou les paramètres de processor, pas par le prompt texte.