SGLang, LLM 및 멀티모달 모델을 위한 서비스 프레임워크는 피클 역직렬화에 대한 중요한 취약성을 가지고 있습니다. 두 가지 취약성, CVE-2026-3059 및 CVE-2026-3060은 각각 멀티모달 생성 및 인코더 병렬 분리 모듈에 존재합니다. 이러한 결점은 공격자가 ZMQ 브로커에 악의적인 피클 파일을 보내서 임의의 코드를 실행할 수 있도록 합니다. CVE-2026-3989는 replay_request_dump.py 스크립트에 영향을 미치며, 악의적인 피클 파일을 처리할 때 코드 실행을 가능하게 합니다. 모든 취약성의 근본 원인은 신뢰할 수 없는 데이터를 적절한 검증 없이 pickle.loads()를 사용하여 역직렬화하는 것입니다. 이 불안전한 역직렬화는 피클의 실행 기능으로 인해 원격 코드 실행으로 이어질 수 있습니다. 공격자는 SGLang 서비스를 제어할 수 있으며, 이는 시스템 손상으로 이어질 수 있습니다. 사용자는 이러한 위험을 완화하기 위해 SGLang 인터페이스에 대한 네트워크 액세스를 제한해야 합니다. JSON 또는 msgpack과 같은 피클의 대안을 사용하여 유사한 취약성을 방지하는 것이 강력히 권장됩니다. 이 문서는 피클 사용의 부적절한 사용과 관련된 위험을 강조하기 위해 제공됩니다. 제안된 패치가 제출되었지만, 발행 중에 유지 관리자로부터 관찰된 반응은 없었습니다.