CVE-2026-115914— vLLM DeepSeek-OCR 图像处理拒绝服务漏洞

一分钟漏洞结论

复制摘要 复制引用

影响对象

vllm-project vllm

利用判断

尚无明确在野利用证据，仍需结合暴露面评估

建议动作

优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

vLLM 是一个用于大语言模型的推理与服务引擎。在 0.11.1 至 0.32.0 版本中，DeepSeek-OCR、DeepSeek-OCR-2 和 Unlimited-OCR 的图像路径存在漏洞：若远程客户端能够访问 OpenAI 兼容 API，则可能提交一张合法图像，该图像在单独处于其每步编码器批次中时，归一化后的像素值之和为零。此时， 函数未返回任何嵌入向量， 函数会将该空值继续传递，最终导致 触发致命断言，使整个引擎对所有用户停止服务。该问题已在 0.32.0 版本中修复。

CVE-2026-115914 影响 vllm-project vllm。尚无明确在野利用证据，仍需结合暴露面评估。vLLM 是一个用于大语言模型的推理与服务引擎。在 0.11.1 至 0.32.0 版本中，DeepSeek-OCR、DeepSeek-OCR-2 和 Unlimited-OCR 的图像路径存在漏洞：若远程客户端能够访问 OpenAI 兼容 API，则可能提交一张合法图像，该图像在单独处于其每步编码器批次中时，归一化后的像素值之和为零。此时， 函数未返回任何 CVE-2026-115914 漏洞详情，神龙漏洞库，https://cve.imfht.com/detail/CVE-2026-115914

一、 漏洞 CVE-2026-115914 基础信息

受影响产品

二、漏洞 CVE-2026-115914 的公开POC

三、漏洞 CVE-2026-115914 的情报信息

CVE-2026-115914 补丁与修复 (2)

• 🔗 [Security] Accept zero-sum DeepSeek-OCR pixel tensors by jperezdealgaba · Pull Request #59417 · vllm-project/vllm 查看完整文章 x_refsource_MISC
• 🔗 [Security] Accept zero-sum DeepSeek-OCR pixel tensors (#59417) · vllm-project/vllm@c15672c · GitHub 查看完整文章 x_refsource_MISC

CVE-2026-115914 厂商安全公告 (1)

• 🔗 DeepSeek-OCR family: an image whose normalized pixels sum to exactly 0 makes embed_multimodal return None, tripping the encoder-output sanity assert — one unauthenticated request kills the whole vLLM engine (default config) · Advisory · vllm-project/vllm · GitHub x_refsource_CONFIRM

CVE-2026-115914 厂商页面 (1)

• 🔗 Release v0.32.0 · vllm-project/vllm · GitHub 查看完整文章 x_refsource_MISC

• https://www.cve.org/CVERecord?id=CVE-2026-115914

同批安全公告 · vllm-project · 2026-10-26 · 共 8 条

IV. Related Vulnerabilities