NoticiasNews

CISA dio tres días para parchear Ray: la infraestructura que corre la IA se volvió el objetivo, no el modeloCISA Gave Three Days to Patch Ray: The Infrastructure Running AI Became the Target, Not the Model

2026-08-20

CISA incorporó al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) la falla CVE-2025-62593, que afecta a versiones de Ray anteriores a la 2.52.0 y carga un puntaje CVSS 4.0 de 9.4. La vulnerabilidad se agregó el 17 de agosto de 2026 con fecha límite de remediación el 20 de agosto: tres días de plazo, uno de los márgenes más agresivos que la agencia haya fijado.

El mecanismo de ataque es lo que hace este caso distinto. Combinada con una técnica de DNS rebinding, la falla permite ejecutar código arbitrario en la máquina de un desarrollador con solo lograr que visite un sitio web malicioso o vea un anuncio comprometido mientras Ray está corriendo. No requiere que el clúster esté expuesto a internet ni credenciales robadas: basta con el navegador abierto en la misma máquina.

Explotación activa desde antes de la divulgación

BitSight reportó que los operadores de la botnet de DDoS RondoDox incorporaron la vulnerabilidad a su arsenal dos días antes de que fuera divulgada públicamente el 26 de noviembre de 2025. En paralelo, instancias sin parchear de Ray están siendo atacadas en una campaña bautizada ShadowRay 2.0, orientada a convertir clústeres con GPU NVIDIA en una botnet autorreplicante de minería de criptomonedas.

El patrón es revelador: los atacantes entendieron antes que muchas organizaciones que un clúster de cómputo de IA es, desde su punto de vista, un centro de datos con GPU de alto valor y supervisión de seguridad típicamente inmadura.

Por qué esto importa más allá de quien usa Ray

  • La superficie de ataque de la IA no es el modelo. Buena parte del debate de seguridad en IA se concentra en prompt injection y fuga de datos. Este caso apunta a otro lado: el orquestador, el scheduler, el framework de cómputo distribuido. Software de infraestructura, con permisos amplios y poca visibilidad.
  • Es infraestructura en la sombra. Ray suele instalarlo un equipo de datos o de ML, no el área de TI. Muchas organizaciones no saben con certeza si lo tienen corriendo, y menos en qué versión.
  • El vector rompe el supuesto perimetral. Si el ataque se dispara desde el navegador del desarrollador, tener el clúster en una red interna deja de ser protección suficiente.
  • El plazo de tres días es un mensaje. CISA reserva ventanas así para lo que considera explotación masiva en curso. Vale como referencia de urgencia incluso fuera del sector público estadounidense.

Qué hacer concretamente

La remediación pasa por actualizar a Ray 2.52.0 o superior, reconstruir las imágenes de contenedor que contengan dependencias anteriores —un paso que se olvida con frecuencia y deja la versión vulnerable viva en producción— y confirmar que las herramientas de gestión de paquetes no hayan retenido en caché una release vulnerable.

Más allá del parche puntual, el caso deja una tarea de fondo: hacer inventario del stack de IA. Muchas organizaciones pueden nombrar qué modelo usan, pero no qué frameworks de orquestación, qué servidores de inferencia o qué librerías de cómputo distribuido corren debajo, ni quién es responsable de parcharlos. Ese inventario es hoy tan crítico como el de servidores tradicionales.

Trazabilidad como control, no como trámite

Un incidente de este tipo se resuelve mucho más rápido cuando existe registro verificable de qué se revisó, cuándo y quién lo aprobó. Esa disciplina es la misma que exige el cumplimiento regulatorio. En TEKFENIX construimos CumplimientoControl sobre ese principio: trazabilidad auditable de cada control y cada revisión, de modo que demostrar diligencia no dependa de reconstruir correos a posteriori. Y con Servigo365, cuando un incidente de seguridad genera un pico de reclamos, la mesa de ayuda mantiene un solo hilo de contexto por cliente en lugar de fragmentar la respuesta entre canales. En seguridad, la capacidad de responder rápido depende de haber ordenado la información antes.

CISA added CVE-2025-62593 to its Known Exploited Vulnerabilities (KEV) catalog. The flaw affects Ray versions prior to 2.52.0 and carries a CVSS 4.0 score of 9.4. It was added on August 17, 2026, with an August 20 remediation deadline — three days, one of the most aggressive windows the agency has set.

The attack mechanism is what makes this case different. Combined with a DNS rebinding technique, the flaw allows arbitrary code execution on a developer's machine simply by getting them to visit a malicious website or view a compromised advertisement while Ray is running. It requires neither an internet-exposed cluster nor stolen credentials: an open browser on the same machine is enough.

Active exploitation predating disclosure

BitSight reported that operators behind the RondoDox DDoS botnet incorporated the vulnerability into their arsenal two days before it was publicly disclosed on November 26, 2025. In parallel, unpatched Ray instances are being targeted in a campaign dubbed ShadowRay 2.0, aimed at turning NVIDIA GPU clusters into a self-replicating cryptomining botnet.

The pattern is revealing: attackers understood before many organizations did that an AI compute cluster is, from their perspective, a data center full of high-value GPUs with typically immature security oversight.

Why this matters beyond Ray users

  • The AI attack surface is not the model. Much of the AI security conversation centers on prompt injection and data leakage. This case points elsewhere: the orchestrator, the scheduler, the distributed compute framework. Infrastructure software, with broad permissions and little visibility.
  • It is shadow infrastructure. Ray is usually installed by a data or ML team, not by IT. Many organizations do not know with certainty whether they are running it, let alone at which version.
  • The vector breaks the perimeter assumption. If the attack triggers from a developer's browser, keeping the cluster on an internal network stops being sufficient protection.
  • The three-day deadline is a message. CISA reserves windows like this for what it considers mass exploitation already underway. It is a useful urgency benchmark even outside the US public sector.

What to do concretely

Remediation means upgrading to Ray 2.52.0 or later, rebuilding container images containing older dependencies — a frequently forgotten step that leaves the vulnerable version alive in production — and confirming that package management tools have not cached a vulnerable release.

Beyond the specific patch, the case leaves deeper homework: inventory the AI stack. Many organizations can name the model they use, but not the orchestration frameworks, inference servers or distributed compute libraries running underneath, nor who is responsible for patching them. That inventory is now as critical as the traditional server inventory.

Traceability as a control, not paperwork

An incident like this resolves far faster when there is verifiable record of what was reviewed, when, and who approved it. That discipline is the same one regulatory compliance demands. At TEKFENIX we built CumplimientoControl on that principle: auditable traceability of every control and every review, so that demonstrating diligence does not depend on reconstructing email threads after the fact. And with Servigo365, when a security incident triggers a spike in complaints, the help desk keeps a single context thread per customer instead of fragmenting the response across channels. In security, the ability to respond quickly depends on having organized the information beforehand.

← Volver al blog← Back to blog