La CISA (U.S. Cybersecurity and Infrastructure Security Agency) a récemment ajouté une faille critique affectant Ray à son catalogue Known Exploited Vulnerabilities (KEV). Le signalement repose sur des preuves d’exploitation active, ce qui place l’écosystème concerné face à un risque immédiat : une attaque peut mener à une exécution de code à distance déclenchée depuis un navigateur.
La vulnérabilité en question s’appuie sur CVE-2025-62593 Ray (score CVSS 9.4). Elle cible notamment des scénarios où un développeur visite un site malveillant ou se retrouve exposé à une publicité conçue pour rediriger vers une page d’attaque. L’inquiétude est d’autant plus forte que le correctif existe déjà.
De quelle faille parle-t-on avec CVE-2025-62593 Ray ?
CVE-2025-62593 Ray concerne Ray, un framework distribué open source basé sur Python, pensé pour faire tourner à grande échelle des charges de travail en IA et machine learning. Dans la pratique, Ray sert à orchestrer des traitements et à gérer des composants qui communiquent entre eux.
La CISA explique que la faille permet une Remote Code Execution (RCE) via des navigateurs comme Mozilla Firefox et Apple Safari. Le mécanisme décrit s’appuie sur une attaque par DNS rebinding, une technique qui abuse du comportement du navigateur et de la résolution DNS pour détourner la cible.
Pourquoi un navigateur peut devenir un point d’entrée
Le cœur du problème ne se limite pas à une simple erreur logicielle. Il s’agit plutôt d’un ensemble de conditions qui rendent l’attaque possible dans des contextes “browser-based”. Les éléments mis en avant par les mainteneurs pointent notamment vers :
- des contrôles insuffisants face aux attaques menées depuis un navigateur,
- des situations où l’en-tête User-Agent peut être modifié,
- la combinaison avec un DNS rebinding pour obtenir un comportement exploitable.
Dans ce contexte, un développeur qui exécute Ray dans son environnement de développement ou de tests peut être exposé s’il :
- visite un site malveillant, ou
- est servi par une publicité malveillante menant à une page d’attaque.
La conséquence décrite est la possibilité d’obtenir l’exécution de code arbitraire, y compris sous la forme de commandes de type shell sur la machine visée.
Une vulnérabilité surtout présente dans les environnements de développement
Les informations disponibles indiquent que l’impact principal concerne les développeurs qui lancent Ray dans des environnements de développement ou de test. C’est souvent là que des contrôles d’authentification ou de segmentation réseau sont moins stricts, et que des endpoints sensibles peuvent être accessibles.
Le risque peut toutefois dépasser la machine de l’utilisateur initial. En cas d’attaque par phishing ou via des pages contrôlées par un attaquant, l’environnement peut devenir une cible pour exécuter du code, puis élargir la portée.
Extension possible vers des instances réseau voisines
Les mainteneurs de Ray soulignent qu’il existe une possibilité d’étendre l’attaque à des instances “proches” sur le réseau. Le scénario mentionné utilise le navigateur comme intermédiaire, décrit comme un “confused deputy” (intermédiaire trompé) pour viser des instances Ray s’exécutant dans un réseau privé d’entreprise.
En clair : même si l’attaque démarre côté navigateur, elle peut être exploitée pour toucher des services Ray situés plus loin dans l’infrastructure, selon les flux réseau et les permissions disponibles.
Quel correctif appliquer et où en est la prise en charge
Le problème a été résolu dans la version 2.52.0 du paquet Python correspondant. Autrement dit, l’approche recommandée est simple : mettre à jour Ray vers une version corrigée, en s’assurant que l’ensemble des environnements concernés (machines de développement, pipelines CI/CD, serveurs de test) sont couverts.
La réponse au sujet inclut aussi des remerciements techniques : Avi Lumelsky est crédité pour la découverte liée au fetch bypass, tandis que Jonathan Leitschuh est mentionné pour avoir proposé la stratégie de DNS rebinding.
Ce que la CISA dit (et ne dit pas) sur l’exploitation réelle
La CISA a ajouté CVE-2025-62593 Ray au catalogue KEV à partir de signaux d’exploitation active. Toutefois, l’agence ne fournit pas de détails précis sur la façon dont la vulnérabilité est exploitée “dans la nature”.
En parallèle, un rapport de BitSight publié en mars 2026 indique que les acteurs liés au botnet RondoDox DDoS auraient intégré cette vulnérabilité dans leur arsenal environ deux jours avant la divulgation publique du 26 novembre 2025. Ce timing s’explique notamment par la disponibilité d’un proof-of-concept (PoC) exploitable.
Menaces observées : DDoS et détournement en cryptomining
Au-delà de l’exploitation “classique” conduisant à l’exécution de code, des indicateurs pointent aussi vers des objectifs de campagne :
- DDoS via le botnet RondoDox, qui aurait intégré la faille grâce à un PoC déjà accessible.
- Cryptomining à partir de clusters équipés de GPU NVIDIA. Selon Oligo, des systèmes non corrigés auraient été utilisés dans une campagne baptisée ShadowRay 2.0, avec l’idée de transformer les clusters infectés en botnet de minage s’auto-répliquant.
Ces usages démontrent que la vulnérabilité peut servir de porte d’entrée à des chaînes d’attaque variées, et pas uniquement à une prise de contrôle isolée.
Calendrier et mesures recommandées pour les agences FCEB
Du fait de l’exploitation active de CVE-2025-62593 Ray, la CISA recommande aux agences de la Federal Civilian Executive Branch (FCEB) d’appliquer les corrections et mitigations nécessaires avant le 20 août 2026.
Même si ce délai vise le secteur public américain, il sert aussi de repère aux organisations privées : l’absence de correction rapide accroît la probabilité de compromission, surtout lorsque des PoC circulent et que des acteurs adaptent leurs campagnes.
Bonnes pratiques à mettre en place dès maintenant
En complément de la mise à jour vers Ray 2.52.0 (ou une version corrigée équivalente), les organisations peuvent réduire la surface d’attaque avec des mesures pragmatiques :
- Inventorier toutes les installations de Ray (y compris dans les environnements de développement et de test).
- Mettre à jour rapidement les dépendances et vérifier la version réellement utilisée en exécution.
- Limiter l’exposition des endpoints sensibles et réduire l’accès réseau inutile.
- Former les équipes aux risques de phishing et aux usages non maîtrisés des publicités ou liens externes.
Ces actions ne remplacent pas le correctif, mais elles réduisent l’impact en attendant la finalisation des déploiements.
Conclusion
Avec l’inscription de CVE-2025-62593 Ray dans le catalogue KEV, la CISA envoie un message clair : la faille est suffisamment exploitée pour exiger une réponse immédiate. Grâce à une chaîne impliquant une attaque DNS rebinding et des conditions liées aux contrôles côté application, un attaquant peut déclencher une exécution de code à distance depuis un navigateur, avec un risque accru pour les environnements de développement.
La bonne nouvelle est qu’un correctif existe déjà dans Ray 2.52.0. La priorité est donc de mettre à jour, puis de renforcer les contrôles d’accès et la vigilance face aux vecteurs d’ingénierie sociale.
Source: https://thehackernews.com/2026/08/cisa-flags-actively-exploited-ray-flaw.html
