SGLang 프로젝트에서 세 가지 치명적인 취약점이 발견되었습니다. SGLang은 대규모 AI 모델을 서빙하기 위한 프레임워크입니다. 이 취약점 중 두 가지는 원격 코드 실행(RCE)을 허용하며, 세 번째는 경로 탐색(path traversal) 결함입니다. 악용하려면 멀티모달 생성 모드가 활성화되어 있어야 하며, 공격자는 SGLang 서비스에 네트워크 접근 권한을 가지고 있어야 합니다. 현재 이러한 문제에 대한 패치는 제공되지 않습니다. 프로젝트 유지보수자는 조정 과정에서 응답을 제공하지 않았습니다. CVE-2026-7301은 멀티모달 생성 런타임 스케줄러의 pickle.loads() 싱크를 악용하여, 노출될 경우 RCE를 허용합니다. 이 취약점은 기본적으로 모든 네트워크 인터페이스에 바인딩되어 접근 가능합니다. CVE-2026-7302는 멀티모달 생성 런타임에서 경로 탐색을 통해 임의의 파일 쓰기를 허용합니다. 공격자는 디렉토리 탐색 시퀀스를 사용하여 업로드 파일 이름을 조작함으로써 이를 달성할 수 있습니다. CVE-2026-7304는 사용자 정의 로짓 프로세서가 활성화된 경우, dill.loads()를 통한 인증되지 않은 Python 객체 역직렬화를 통해 RCE를 가능하게 합니다. 악용될 경우, 이러한 취약점은 SGLang 호스트에서 원격 코드 실행 또는 임의의 파일 쓰기로 이어질 수 있습니다. 가장 높은 위험은 영향을 받는 인터페이스를 신뢰할 수 없는 네트워크에 노출하는 배포에 있습니다. 패치가 출시될 때까지 사용자는 서비스 접근을 제한하고 신뢰할 수 없는 네트워크에 노출하지 않아야 합니다.