كشفت شركة Lava في بحث نشرته في 8 أكتوبر 2026 أن أداة NVIDIA DCGM Exporter لمراقبة وحدات المعالجة الرسومية كانت مكشوفة على الإنترنت دون مصادقة على نحو 2100 خادم. وتتضمن الأداة ثغرة (CVE-2026-47483 بتقييم CVSS عند 8.2) تتيح لمهاجم دون مصادقة إنهاك مواردها حتى تتعطل، علماً بأن NVIDIA نشرت تحذيرها الأمني للثغرة في 28 يوليو 2026.
يكمن الخلل في مسارات /debug/pprof داخل الأداة، حيث يمكن التسبب في استهلاك غير مضبوط للموارد عبر إرسال طلبات تحليل متزامنة دون مصادقة، ما ينتج عنه حجب الخدمة وكشف المعلومات.وتشير النشرة إلى توفر إصدار محدث يحمل الرقم 4.8.2 لأداة DCGM Exporter وإصدار 4.5.3 لحزمة DCGM، دون رصد استغلال فعلي للثغرة أو توفر حلول بديلة مؤقتة.
تقرأ الأداة بيانات وحدات المعالجة الرسومية مباشرة، بما يشمل الحرارة ونسب الاستخدام والذاكرة واستهلاك الطاقة، وتعرضها عبر بروتوكول HTTP، غالباً على المنفذ 9400، ليتم جمعها بواسطة نظام Prometheus، وتُعرف كل وحدة بمعرف فريد.
رصدت شركة Lava، عبر أربعة فحوص بين شهري مارس ومايو 2026، نحو 2,100 خادم تقدم مقاييس الأداة دون أي مصادقة، لتكشف عن أكثر من 12,000 وحدة معالجة رسومية تقدر قيمتها بنحو 100 مليون دولار وتعود إلى نحو 300 جهة. وتضم هذه الوحدات أجهزة H100 وH200 وBlackwell، منها 312 وحدة من طراز B200 و32 وحدة من طراز B300، إضافة إلى بطاقات RTX 4090 وRTX 5090. وأفادت تغطية Help Net Security بأن الولايات المتحدة تصدرت قائمة الوحدات المكشوفة بواقع 5,274 وحدة، تليها رومانيا بـ 2054 وحدة، ثم الصين بـ 1967 وحدة.
وتكشف المقاييس طراز العتاد ونسب استخدامه وأوقات انشغاله، وتتضمن أحياناً أسماء الحاويات والمشاريع عند استخدام وسوم Kubernetes. وكان نحو ربع الخوادم المكشوفة يقدم مسارات /debug/pprof. وأشارت Lava إلى أنها ظنت في البداية أن الأمر يعود لخطأ تشغيلي، لكنها أعادت السلوك نفسه على حاوية DCGM Exporter الرسمية دون تعديل. وأضافت أن اختبار الانهيار جرى في بيئة مضبوطة، محذرة من أن ضغط المعالج والذاكرة قد يبطئ أحمال التدريب والاستدلال على الخادم نفسه.
أبلغت Lava مزودي الخدمات السحابية الذين ظهرت الخدمات على بنية مرتبطة بهم، ومنهم Voltage Park وLambda وNorthern Data وDigitalOcean. وأوضح المزودون أن الخدمات نشرها عملاؤهم في الغالب، بينما أكدت Voltage Park أن جميع نسخ DCGM Exporter المكشوفة تعود لعمليات نشر نفذها عملاؤها.
وتوصي Lava بتحديث أداة DCGM Exporter إلى الإصدار 4.8.2 أو أحدث، وإبقاء خيار –enable-pprof معطلاً ما لم يكن التحليل مطلوباً. كما ينصح بربط الأداة بواجهة محلية أو خاصة وتقييد الوصول إليها عبر جدار حماية أو مجموعات أمان، لضمان حصر الوصول بنظام المراقبة فقط.
