事件经过
已通过NVD REST API验证。CVE-2026-110631（发布于2026-10-14，CVSS 9.8 v3.1 / 9.3 v4.0，CWE-1188）：Periphery代理的信任列表默认为空且失败开放，因此任何密钥对都被接受，调用者被视为可信Core。CVE-2026-110005（发布于2026-10-13，CERT-CC / KB 456950）是同一代理中的姊妹命令注入缺陷。两者均影响Komodo平台的'periphery'/'agent'组件。
影响分析
Komodo的Periphery代理在托管服务器上运行以执行部署/容器；失败开放的认证默认值将任何相邻网络主机变成服务器群上的根shell。对AI部署而言这很重要，因为Komodo风格的代理日益靠近具有广泛权限的模型服务和数据基础设施——并且配对的命令注入缺陷意味着即使是'合法的'低权限用户也能达到根权限。请配置core_public_keys/passkeys并更新至已修复的代理。
攻击途径
未认证的攻击者向Periphery代理呈现任何生成的密钥对（空的core_public_keys/passkeys默认失败开放），然后发出Periphery API请求以获取终端会话和容器操作——在托管主机上执行任意命令，通常以root身份。CVE-2026-110005：具有Execute/Read+Logs权限的已认证低权限用户在传递给sh -c的容器名称中插入shell元字符，出现在DestroyContainer/SearchContainerLog中。
受影响系统
Komodo Periphery代理至2.3.3（认证绕过）；Komodo 1.19.1–<2.3.0（CVE-2026-110005命令注入）
缓解措施
将Periphery更新至已修复版本，并显式填充core_public_keys / passkeys（不要使用空信任列表运行）；将TCP 8120限制为可信Core地址。对于CVE-2026-110005，升级至>= 2.3.0。VulnCheck公告 + moghtech/komodo仓库。