Le 20 octobre 2026, vLLM a publié la CVE-2026-115915 : son chargeur d’images ImageMediaIO transmettait les octets reçus à l’autodétection de Pillow sans liste blanche, si bien qu’un fichier EPS déguisé en PNG atteignait l’exécutable Ghostscript de l’hôte et pouvait exécuter des commandes. Quiconque héberge un serveur d’inférence multimodale doit passer en 0.32.0 et limiter les entrées aux formats raster.

Le 7 octobre 2026, JFrog révèle la faille CVE-2026-105192, une exécution de code à distance non authentifiée de gravité 9,8 dans LMCache, le cache qui accélère les serveurs LLM comme vLLM, sans correctif disponible. Si votre cache LMCache écoute sur une adresse routable, isolez-le immédiatement plutôt que d’attendre un patch.

Ollama, vLLM et llama.cpp couvrent tous les cas d’usage de l’inférence locale, du poste développeur au cluster GPU. Ce guide compare leurs performances réelles, leur empreinte VRAM et le prix de chaque approche — pour que vous sachiez laquelle adopter avant la fin de la journée.