一件看似琐碎但值得记录的事件：AMD 的安全公告 AMD-SB-6033 在 10 月 6 日的修订里，把受影响产品表中的 CVE 编号从 CVE-2026-54974 改成了 CVE-2026-43598。
为什么这值得一说 CVE-2026-54974 从来没有过公开的 CVE 记录。有研究者去查 CVE Program 的记录服务，返回的是“该 CVE ID 的记录不存在”。作为对照，同一批次查询的其他两个编号都正常返回了完整记录，说明服务本身没问题。
替换后的 CVE-2026-43598 有正式记录，发布日期是 2026 年 10 月 6 日，AMD 自己是编号授权方。
漏洞本身 位置在 ROCm Communication Collectives Library（RCCL）的代理通信路径，类型是输入校验不当，可能让已被攻陷的对等节点或网络邻近攻击者解引用攻击者可控的指针，导致远程代码执行。
CVSS 4.0 评分 7.7，向量是 AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H。受影响的是九款 Instinct 加速器：MI210、MI250、MI250X、MI300A、MI300X、MI308X、MI325X、MI350X、MI355X。缓解版本是 ROCm 7.14，7 月 15 日发布。
公告和 CVE 记录有两点不一致：记录把漏洞归为 CWE-822（不可信指针解引用），公告里没提这个分类；公告致谢了研究者 Luna Nova，记录里没有致谢。
影响范围要说清楚 这是数据中心产品，从头到尾都是。RCCL 是服务器内部加速器之间搬数据的库，涉及的九款产品全是机架里的 Instinct 加速卡。没有 Radeon 显卡、没有 Ryzen 处理器、没有 Adrenalin 驱动。普通消费者不需要装任何东西。
这件事的普遍意义 CVE 编号管理出错不是孤例。编号分配、公告撰写、记录发布分属不同环节，出现不一致很常见。
对你的实际影响是：做漏洞管理时，不要只依赖单一数据源。公告里的编号、NVD 的记录、厂商的补丁说明，最好交叉核对一下。如果一个编号查不到记录，先怀疑是数据问题，而不是“这个漏洞不存在”。
该做的 跑 AMD Instinct 的，确认 ROCm 版本在 7.14 或以上。多节点训练环境里，节点间的网络隔离策略值得重新审视——这个漏洞的攻击前提是对等节点已被攻陷或网络邻近可达。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。