SGLangにCVSS 9.8のRCE脆弱性、悪意あるGGUFモデル読込でLLMサーバー乗っ取りの恐れ

「Hugging Faceから持ってきたモデルが危ない、って本当なの？」
「SGLangを動かしているサーバーはどこまで脆弱なのでしょうか？」

チップス

ボス、うちのチームが検証環境でSGLangを動かしてるでしゅよ。モデルファイルを読むだけでRCEって、怖すぎるでしゅ！

ボス

そうだな。今回のCVE-2026-5760はCVSS 9.8、しかも「モデルを読み込ませる」という通常運用で攻撃が成立する点が厄介だ。落ち着いて仕組みを整理しよう。

LLMサービング基盤の脆弱性は、生成AI活用が広がるほどに被害面が拡大します。
今回のSGLangの件は、モデル配布エコシステムへの信頼を揺るがす内容で、多くのAI開発チームが見直しを迫られています。
この記事では、CVE-2026-5760の仕組みと、日本の企業・開発現場が今すぐ取るべき対応を整理します。

これを読めば、SGLangを採用している環境でGW前に何を優先すべきかが具体的に分かります。
AI基盤に関わるエンジニアの方は、必ず目を通してください。

事件の概要：SGLangでモデル読み込みがそのままRCEに

SGLangはLLMやマルチモーダルモデル向けの高性能サービングフレームワークで、国内外のスタートアップや研究機関で採用が広がっています。
今回報告されたCVE-2026-5760は、モデルを読み込むだけで攻撃が成立する深刻な欠陥です。

脆弱性の基本情報

報告内容の要点は次の通りです。
「信頼できないモデルを読まなければよい」という助言だけでは防ぎ切れないため、構造的な対応が必要になります。

詳細はThe Hacker Newsの報道を参照してください。
SGLang側でも修正版がアナウンスされており、GGUFモデル利用者はまず更新を優先するべきです。

チップス

モデルファイルって、ただのデータじゃなかったんでしゅか？

ボス

GGUFのようにメタ情報としてテンプレートを同梱できる形式は、立派な「実行可能データ」だ。データだと油断したときが一番危ない。

攻撃の仕組みとリスク：なぜチャットテンプレートが危険なのか

GGUFはllama.cpp系で広く使われる量子化モデル形式で、tokenizer.chat_templateにJinja2テンプレートを埋め込めます。
SGLangはこれをロード時にレンダリングしていたため、テンプレートに仕込まれた攻撃コードが実行されてしまいました。

SSTIがRCEに変わるまでの流れ

サーバーサイドテンプレートインジェクション（SSTI）は、テンプレートエンジンに直接Python式を評価させる攻撃です。
Jinja2であれば、組み込みのサブクラス辿りを経由してosモジュールへ到達でき、任意コマンドを実行できます。

国内の開発・運用現場で必要な対策

まずはSGLangを最新版に更新し、修正パッチが適用されていることを確認してください。
そのうえで、モデルの取得元をホワイトリスト化し、社外からのモデル持ち込みはレビューを経るワークフローに変更するのがおすすめです。

GPUサーバーはコンテナ・非特権ユーザー・ネットワーク分離の三重で守るのが基本です。
さらに、ロードしたモデルのハッシュをHugging Faceの公式ハッシュと照合する運用を組み込むと、改ざん検知が安定します。

チップス

モデルのレビューって、ちょっと面倒くさそうでしゅ……

ボス

面倒だが、1回のインシデントで失う信頼のほうが重い。運用で守るのが本筋だ、チップス。

まとめ：AIサプライチェーンのリスクを運用で閉じる

CVE-2026-5760は、モデル配布エコシステム全体に潜むリスクを可視化しました。
SGLang単体の修正だけでなく、モデルの取得元管理・サーバーのサンドボックス化・ログ監視を合わせた多層防御が欠かせません。
AI活用が本番環境へ広がる今こそ、モデル取り扱いポリシーを社内で明文化しておくべきです。