CVE-2026-94627

Nome do Software Vulnerável e Versões Afetadas vLLM versões anteriores a 0.29.1

Descrição O conector Mooncake falha ao gerenciar adequadamente a propriedade dos blocos de cache KV da GPU em implantações desagregadas de preenchimento/decodificação (prefill/decode) quando solicitações filhas simultâneas compartilham um único ID de transferência. Um invasor pode causar a exaustão da memória da GPU ao enviar solicitações de conclusão com múltiplos prompts. Essa ação leva ao acúmulo de blocos de cache KV órfãos—blocos de memória que não estão mais associados a uma solicitação ativa, mas não são liberados—que persistem até que o processo seja reiniciado, eventualmente impedindo a execução de solicitações legítimas.

Recomendações Atualize o vLLM para uma versão posterior à 0.29.0.