Ray rejoint le catalogue KEV : exploitation active visant les environnements de développement IA

La vulnérabilité permet l’exécution de code à distance

La CISA a ajouté la faille CVE-2025-62593 d’Anyscale Ray au catalogue Known Exploited Vulnerabilities (KEV) après avoir reçu des preuves d’exploitation active. L’ajout date du 17 août 2026, tandis que la date limite de remédiation pour les agences fédérales américaines était fixée au 20 août 2026.

Le défaut concerne les versions antérieures à la 2.52.0 et peut permettre l’exécution de code à distance contre les développeurs qui utilisent Ray comme outil de développement. La vulnérabilité affiche un score CVSS 3.1 de 8.8, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Ce score indique qu’une attaque peut être menée à distance, sans privilèges, mais nécessite une interaction de l’utilisateur. L’impact potentiel concerne la confidentialité, l’intégrité et la disponibilité du système.

La faille est classée CWE-94, relative à l’injection de code, et CWE-352, associée aux attaques de type cross-site request forgery.

Comment le navigateur peut exposer Ray

Selon la description technique disponible, le problème vient d’une protection insuffisante contre les requêtes provenant du navigateur. Ray considère comme fiable la valeur de l’en-tête HTTP User-Agent lorsqu’elle commence par la chaîne Mozilla.

Cette vérification est insuffisante. La spécification Fetch permet en effet de modifier l’en-tête, ce qui rend possible le contournement du contrôle. L’attaque peut être combinée à une technique de DNS rebinding, qui manipule la résolution DNS afin de contraindre le navigateur à communiquer avec un service local ou un environnement interne accessible depuis la machine du développeur.

La cible n’est donc pas nécessairement une instance Ray exposée comme un service Internet. Il suffit que le développeur exécute un environnement vulnérable et interagisse avec des contenus ou des pages contrôlés par l’attaquant. Les informations techniques disponibles ne permettent pas de détailler davantage la dernière étape opérationnelle de l’exploit.

La composante d’interaction indiquée dans le vecteur CVSS ne réduit pas le risque pour les équipes qui utilisent Ray lors du développement, des tests ou de l’entraînement de modèles. Un navigateur compromis ou une page malveillante peut devenir le point d’entrée vers l’environnement local.

RondoDox associée à l’exploitation

L’activité a été associée au botnet RondoDox, décrit comme une variante inspirée de Mirai et destinée à compromettre des appareils edge vulnérables.

Selon une estimation attribuée à BitSight, RondoDox disposerait de 174 exploits distincts. Le lien spécifique avec CVE-2025-62593 n’est accompagné d’aucun indicateur de compromission, détail opérationnel ou confirmation indépendante de l’attribution.

L’élément le plus important reste toutefois l’inscription au catalogue KEV : pour la CISA, la vulnérabilité ne constitue plus seulement un risque théorique. Les organisations qui utilisent Ray doivent envisager la possibilité d’une compromission antérieure à l’installation du correctif.

La CISA demande d’appliquer les mesures d’atténuation indiquées par l’éditeur, de respecter la directive BOD 26-04 sur la priorisation des mises à jour fondée sur le risque et de suivre les exigences de Forensics Triage. Lorsqu’aucune mesure d’atténuation n’est disponible, il est recommandé d’arrêter d’utiliser le produit.

Il faut également évaluer l’exposition Internet de chaque actif et vérifier les systèmes avant d’appliquer le correctif. Une mise à jour élimine la vulnérabilité, mais ne supprime pas les accès éventuellement déjà obtenus.

Medusa élargit son recours aux vulnérabilités du catalogue KEV

Un avis conjoint du FBI, de la CISA et du HHS met à jour le profil opérationnel du ransomware Medusa et ajoute deux vulnérabilités à la liste des failles exploitées :

• Fortra GoAnywhere MFT — CVE-2025-10035
• BeyondTrust Remote Support et Privileged Remote Access — CVE-2026-1731

Toutes deux figurent dans le catalogue CISA KEV et ont été utilisées dans des campagnes de ransomware. CVE-2025-10035 affiche un score CVSS de 10.0, tandis que CVE-2026-1731 atteint 9.8. Leur inscription au catalogue KEV date respectivement du 29 septembre 2025 et du 13 février 2026, avec des échéances fédérales fixées au 20 octobre 2025 et au 16 février 2026.

Pour ces deux vulnérabilités, la CISA recommande d’appliquer les mesures d’atténuation de l’éditeur, de suivre les dispositions applicables de la BOD 22-01 relatives aux services cloud ou d’arrêter d’utiliser le produit lorsque les mesures d’atténuation ne sont pas disponibles.

Medusa exploite également :

• ScreenConnect — CVE-2024-1709, contournement de l’authentification ;
• Fortinet EMS — CVE-2023-48788, injection SQL.

Ces vulnérabilités figurent elles aussi dans le catalogue KEV et ont été utilisées dans des campagnes de ransomware. Leurs scores sont respectivement de 10.0 et 9.8. Les échéances fédérales étaient fixées au 29 février 2024 pour CVE-2024-1709 et au 15 avril 2024 pour CVE-2023-48788.

Au cours des 90 derniers jours, d’autres vulnérabilités concernant les mêmes éditeurs ont également rejoint le catalogue : CVE-2025-68686, le 27 juillet 2026, ainsi que CVE-2026-25089 et CVE-2026-39808, toutes deux le 16 juillet 2026. Ces éléments situent l’activité de Medusa dans un écosystème où les produits d’accès distant, de transfert de fichiers et de gestion des infrastructures restent des cibles prioritaires.

Plus de 500 victimes et contrôle de l’exploit

Medusa est une opération de ransomware-as-a-service active depuis juin 2021. Depuis au moins le début de 2023, elle repose sur un modèle d’affiliation, des opérateurs externes étant chargés d’obtenir l’accès aux réseaux ou de mener les intrusions.

Le groupe pratique la double extorsion : il chiffre les données et menace de publier celles qui ont été dérobées. Jusqu’en avril 2026, les autorités ont associé l’opération à plus de 500 victimes dans des secteurs d’infrastructures critiques, notamment la santé, l’éducation, l’assurance, la technologie, les services juridiques et l’industrie manufacturière.

Les affiliés utilisent le phishing, des identifiants volés et des applications exposées publiquement qui n’ont pas été mises à jour. Les access brokers peuvent recevoir de 100 dollars à 1 million de dollars, selon la valeur de l’accès.

Medusa exploite rapidement les vulnérabilités nouvellement divulguées. Dans certains cas, les exploits ont été observés jusqu’à une semaine avant leur divulgation. En revanche, aucun exploit zero-day ou n-day développé directement par le groupe n’a été identifié : l’accès anticipé pourrait provenir d’intermédiaires criminels ou de marchés clandestins.

Pour vérifier le succès de l’intrusion, les attaquants utilisent des URL dynamiques Interactsh sur les domaines suivants :

oast[.]site
oast[.]pro
oast[.]fun

Un sous-domaine peut contenir le nom de la victime et une chaîne aléatoire, par exemple :

<victim-name>.<random-33-alphanumeric-characters>.oast.site

Des requêtes vers ces domaines peuvent indiquer une tentative d’exploitation ou une vérification OOB effectuée par les attaquants. Les indicateurs complets sont disponibles dans les fichiers STIX mis à jour de l’avis.

Les priorités opérationnelles sont claires : mettre Ray à jour vers la version 2.52.0 ou ultérieure, corriger les produits ciblés par Medusa, limiter l’exposition des services distants, segmenter les réseaux et rechercher dans les journaux les requêtes vers les domaines Interactsh. Lorsqu’un correctif a été appliqué après une exposition, l’actif doit être considéré comme potentiellement compromis et faire l’objet d’une chasse aux menaces ainsi que d’une analyse forensique.