要点
- AI モデルを動かす基盤 GPUStack に、ログインなしで管理者になれる欠陥が見つかり、実際の悪用が確認された。
- 管理者を取られると、モデルやユーザーの書き換え、各種の秘密情報の閲覧、動作先サーバーでの不正なプログラム実行につながりうる。
- 版 2.2.0 より前が対象で、2.2.0 以降で直っている。まず自分の環境が外から見えていないかを確かめたい。
何が起きたか
米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）は 2026年11月9日、GPUStack の欠陥 CVE-2026-102895 を KEV（悪用が確認された脆弱性の一覧）に加えた。連邦機関への対応期限は 11月12日とされている。
開発元の GitHub 上の advisory（注意喚起）によると、問題は本人確認の作りにある。「同じ機械の内側から来た通信」を、パスワードなしで管理者として扱う動きが、初期設定で有効になっている。
advisory は、外部の攻撃者が通信を「内側から来た」ように見せかける道が2つあるとしている。1つは、同じ機械に置いた中継役（リバースプロキシ）を通す構成だ。この場合、外からの通信がすべて内側に見える。もう1つは、通信に付ける情報を偽る方法だ。結果として、ネットワーク越しに管理者権限を取られる。評価は CVSS 9.8（最高10）の「緊急」である。
悪用については、advisory が「v2.1.1 の環境で実際に悪用された」と書いている。攻撃者が作った独自の処理部品（custom backend）で、reverse shell が動いていたという。reverse shell とは、乗っ取られたサーバーが攻撃者の側へつなぎ、遠隔操作を許す仕組みだ。悪用を報告したのは Javier Sixto 氏（ulex.fr）。欠陥そのものは、複数の研究者が別々に報告した。
なお、advisory の公開は 7月31日で、KEV への追加は 11月9日だ。
日本の利用者への影響
GPUStack は pip（Python の配布の仕組み）で入れる公開の製品だ。日本の組織が使っていれば、同じ条件で当たる。使っているかどうかは、各組織で確かめるしかない。
今すぐやること
- GPUStack を使っているか、社内の AI 担当や情報システム部門に確かめる。試験用に誰かが立てたものも含める。
- 版を確認し、2.2.0 以降に上げる。開発元の修正はこれだ。
- すぐ上げられないなら、開発元が勧める回避策を取る。「内側扱い」を禁じる設定を有効にし、中継役が外の通信を内側に見せないようにし、画面や API をインターネットに出さない。
- 外から見えていないかを確かめる。社外のネットワークから管理画面や API に届くかを見る。
- 古い版を外に出していた期間があれば、侵入を疑って点検する。知らない管理者ユーザー、見覚えのない API キー、身に覚えのないモデルや処理部品がないかを見る。見つかれば、サーバー上に保存した秘密情報（クラウドの鍵など）をすべて取り替える。CISA も、悪用後の調査（フォレンジック）を求めている。
背景
advisory は原因を「通信の出どころを、本人の証明として信じた」ことだと説明している。出どころは、接続元の住所でも、相手が自由に書ける情報でもありえるのに、どちらも信用した。
AI の基盤製品は、急いで作られ、検証用として手軽に公開されやすい。GPUStack の GitHub には、2026年10月にも「高」評価の欠陥が複数公開されている。認証や権限の確認が甘いという点は、この分野で繰り返し見つかる型だ。
技術者向けの詳細
- 対象: gpustack（pip）2.2.0 未満。修正版: 2.2.0。
- 欠陥:
get_current_userが、loopback 由来の要求を、既定設定force_auth_localhost=Falseのとき、組み込み管理者として扱う。 - 弱点: CWE-287、CWE-290、CWE-346。CVSS 3.1: 9.8（AV:N/AC:L/PR:N/UI:N）。
- 修正の内容: loopback の自動管理者を廃止し、クライアント IP と転送ヘッダーの扱いを強化した。
- 回避策（advisory）:
force_auth_localhost=trueにする。- プロキシやゲートウェイで、外部の通信が local に見えないようにする。
- クライアントが付けた
X-GPUStack-Real-IPを、境界で取り除く。 - API を信頼できないネットワークに出さない。
- 悪用の事例（advisory）: v2.1.1 の環境で、攻撃者が作った custom backend が reverse shell を動かしていた（1件の観測）。点検では、次を確かめる。
- 管理者ユーザー、API キーの新規作成
- 見覚えのない backend、モデル定義
- worker 上の不審なプロセスと外向きの通信
- 版の確認（一般的な方法。一次情報には記載なし）:
pip show gpustack - CISA の KEV 追加日: 2026-11-09。期限: 2026-11-12。ランサムウェアでの利用: 不明。
