事件经过
vLLM 0.32.0 的一批修复关闭了多模态和令牌路径中由请求驱动的故障模式：攻击者控制的聊天模板由分词器编译/渲染，一个max_token_id的差一错误允许等于词汇表大小的预分词提示ID通过验证，Phi-4音频编码器默认使用急切注意力（单个长音频片段即可耗尽它），一个DeepSeek-OCR路径除以归一化像素聚合值为零，以及/v1/responses模板注入。
影响分析
这些是在广泛部署的LLM服务引擎中的低摩擦拒绝服务和越界访问路径：每个路径由单个精心设计的API请求触发，可导致共享推理服务器宕机或损坏GPU张量访问，因此远程调用者（或提示注入的代理）可以破坏或破坏服务层的稳定性。
攻击途径
远程客户端提交一个精心设计的请求，到达客户端控制的模板编译/渲染、词汇外/预分词提示令牌ID，或病态的多模态媒体负载（长音频片段、零和归一化OCR图像、超大帧数），导致引擎崩溃、推理工作耗尽内存，或在GPU上发生越界列访问。
受影响系统
vLLM 从约0.11.1 / 0.16.0 / 0.19.0 到 0.32.0。具体包括 CVE-2026-115911（请求聊天模板注入）、CVE-2026-115913（Phi-4音频编码器急切注意力拒绝服务）、CVE-2026-115914（DeepSeek-OCR/无限OCR归一化像素和为零拒绝服务）、CVE-2026-115916（max_token_id差一错误越界）、CVE-2026-115918（/v1/responses攻击者控制的聊天模板）。
缓解措施
升级到 vLLM 0.32.0 或更高版本。如果升级延迟，在端点前放置代理并限制聊天模板/令牌ID/多模态输入；配置服务端--chat-template，使客户端无法提供模板。