CVE-2026-12480 KerasのHDF5ファイル任意読み取り脆弱性によるモデル攻撃リスク解説とAI Security対策ガイド

結論

• 危険度: 情報なし
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味

表記	条件	意味	対応目安
【至急/ランサム悪用】	CISA KEV登録 + ランサムウェア悪用観測	ランサムグループが現在進行形で悪用	本日中に対応開始
【至急/重大】	CISA KEV登録 + CVSS 9.0以上	実世界で攻撃観測あり + スコア極めて高い	本日中に対応開始
【重大/KEV登録】	CISA KEV登録(CVSS低またはNVD未反映)	実世界で攻撃観測あり	数日以内
【最重大】	CVSS 9.5以上(KEV未登録)	理論上の危険度ほぼ満点、攻撃観測はまだない	1週間以内に対応計画
【重大】	CVSS 9.0〜9.4(KEV未登録)	Critical帯の理論的高リスク	1〜2週間以内
【高】	CVSS 7.0〜8.9(KEV未登録)	High帯のリスク	計画的に対応
(プレフィックスなし)	CVSS 7.0未満	Medium以下のリスク	通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-07-01 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP	やること	かかる目安
STEP 1	何が起きているか理解する	5分
STEP 2	急ぎ対応すべきか判断する	3分
STEP 3	自分の環境が対象か確認する	5分
STEP 4	修正を適用する	環境による
STEP 5	修正されたことを確認する	3分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-12480はKeras(ケラス)の3.13.2以下のバージョンにある脆弱性です。攻撃者は悪意のあるHDF5ファイルを作り、認証なしに外部ファイルを読み取れます。LLMアプリケーション開発者やAI Gateway運用者にとって重要な脆弱性です。

やさしく説明すると

イメージとしては、家の玄関の鍵はかかっているのに、窓の鍵が閉まっていないような状態です。攻撃者は特殊なカギ（ここでは悪意のあるファイル）を使って窓から家の中をこっそり覗けます。

この場合、悪意あるファイルがモデルの重みファイルやアーカイブに仕込まれています。被害者がモデルを読み込むと、そのファイルがシステムの外部にあるファイルをこっそり読み込んでしまい、情報が漏れます。

技術的な原因

この脆弱性の原因はCWE-73（外部参照の不適切な制御）に分類されます。KerasのH5IOStore._verify_dataset()やfile_editor.pyの処理が、HDF5データセットのdataset.is_virtual（仮想データセットかどうか）の検証を正しく行っていません。

その結果、悪意のあるVirtual Dataset (VDS)が外部のHDF5ファイルを参照できてしまいます。言い換えれば、Kerasが意図していない外部ファイルを読み取ることを許してしまうのです。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）の誤って含まれたファイルが漏洩する可能性
• LLMのコンテキスト情報が外部に流出し、顧客の機密情報が危険にさらされる
• AI Agentが悪用され、プロンプトインジェクション攻撃による乗っ取りの足がかりとなる
• モデルやRAG（Retrieval-Augmented Generation）データの無断改ざんや不正利用
• 請求コストが予期せず増大するリスク
• テナント間の情報漏洩によるマルチテナント環境の破壊
• CursorやCline、GitHub CopilotなどのAIコーディングツール経由でのローカルファイル読み取り・任意コード実行リスク
• IDE拡張のリモート操作を攻撃者に許す恐れ
• .envファイルや各種認証情報の漏洩

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ	情報源	言語	何が分かるか	リンク
総合	NVD（米国 NIST）	英	米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。	開く
総合	MITRE CVE	英	CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。	開く
総合	JVN iPedia（JPCERT/CC・IPA）	日	日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。	開く
総合	CISA KEV（悪用観測カタログ）	英	米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。	開く
総合	GitHub Advisory Database	英	OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。	開く
総合	OpenCVE	英	複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。	開く
Linux	Red Hat CVE	英	Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。	開く
Linux	Ubuntu Security	英	Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。	開く
Linux	Debian Security Tracker	英	Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディストリ利用者向け。	開く
Linux	SUSE CVE	英	SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。	開く
悪用	Exploit Database	英	公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。	開く
悪用	Packet Storm Security	英	セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。	開く
悪用	GitHub PoC 検索	英	GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。	開く
悪用	X（Twitter）検索	日英	直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。	開く
スキャナ	Snyk Vulnerability DB	英	パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。	開く
スキャナ	Tenable（Nessus）	英	Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。	開く
スキャナ	Rapid7（Metasploit/Nexpose）	英	Metasploit悪用モジュール、Nexposeでの検出情報。	開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 低

判断根拠

• CVSSスコアはNVDに未登録で詳細不明。実務的には明確な深刻度不明だが、任意の外部ファイル読み取りなので注意は必要。
• EPSSスコア（悪用予測確率）は未提供。
• CISA KEVには未登録。ランサムウェア悪用も不明。
• 公開PoCや悪用観測は0で、現段階での攻撃活動は確認されていない。
• 悪用には悪意のある.kearsまたは.h5重みファイルを使い、モデルをロードする必要がある。
• 認証なしにファイル読み込みが可能だが、被害は主にモデル読み込み処理に依存する。

誰が動くべきか

• LLMアプリケーション開発者でKerasを利用している人
• AI GatewayやAgentフレームワークの運用チーム（特にモデルのロード処理にKerasを利用している場合）
• バイブコーダー開発者でTensorFlow/Kerasモデルを自動生成・読み込みしている場合
• MLインフラ運用チームでKerasモデルの管理をする場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品	脆弱なバージョン範囲	修正版
Keras	3.12.2以前および3.13.2以下	3.12.3以降、3.14.1以降（ベンダー公式のコミット参照）

バージョン確認コマンド

Python (pip)

pip show keras

出力例:

Name: Keras
Version: 3.13.2
Summary: Deep Learning for humans

判定: バージョンが 3.13.2 以下なら脆弱。3.14.1 以降なら安全。

Python (pip)

pip list | grep keras

出力例:

keras                  3.13.2

判定: 同上。脆弱か安全か判断可能。

設定確認

この脆弱性はバージョンに依存し、特定の設定は関係ありません。よって設定依存ではなく、対象バージョンであれば脆弱です。

Nucleiテンプレートでの検出

本脆弱性に関する公開のNucleiテンプレートは現在存在しません。バージョン確認で対象かどうか判断してください。

STEP 4: 修正を適用する

パッチ適用

Python (pip) でのアップグレード

pip install --upgrade keras

判定: Kerasのバージョンが 3.14.1 以上になれば修正済みです。

注意: アップグレード前に必ず依存パッケージの互換性を確認してください。モデルの動作検証をステージング環境で行い、本番適用時はダウンタイムの予定を確保してください。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。該当モデルファイルの信頼性を厳格に管理し、不審な入力ファイルを排除することが実務的な暫定対応となります。

STEP 5: 修正されたことを確認する

STEP 3 で実行したバージョン確認コマンドをもう一度実行してください。

期待される出力

Python (pip)

pip show keras

出力例:

Name: Keras
Version: 3.14.1
Summary: Deep Learning for humans

判定: バージョンが 3.14.1 以上であれば修正済みで安全です。

追加で確認すべきこと

• モデル読み込み時に疑わしいファイルアクセスログがないか監視してください。
• 不正アクセスの痕跡がないかログ検索を行ってください。

補足: 悪用観測状況

2026年7月時点で、CISA KEVやNVDの悪用タグ、公開されたPoCコードは確認されていません。ランサムウェア等による攻撃も報告されていません。現状では実際の悪用は観測されていませんが、任意の外部ファイル読み取りが可能なため油断は禁物です。

補足: CVSSメトリクス詳細

• AV（攻撃元の位置）: 未公表。ネットワーク経由の可能性がある。
• AC（攻撃の難易度）: 不明。悪意のあるファイル作成とモデルロードが必要。
• PR（攻撃者の権限要否）: 認証不要と推測される。
• UI（ユーザ操作の要否）: ユーザ操作が必要（モデル読み込み）である。
• S（範囲）: 不明だが、同一システム内部ファイルへの影響。
• C（機密保持性）: 高。外部ファイルから情報漏洩が起きる。
• I（完全性）: 低。読み取りのみで改ざんは対象外。
• A（可用性）: 低。サービス遮断には直結しない可能性が高い。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で環境のバージョンを確認し、脆弱なバージョンならSTEP 4でKerasを3.14.1以上にアップグレードしてください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、不審なモデルファイルの取り込みを禁止し、アクセスを制限するなどの運用ルールを強化してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. モデルのロード時やHDF5関連のファイルアクセスログに不審な外部ファイルの読み取りがないか調査してください。ベンダーからのIOC情報はありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示し、EPSSは実際に悪用される確率を示します。両方確認することで対応の優先度判断がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じくCWE-73に該当する不適切な外部参照を許す脆弱性は過去にも報告されています。HDF5の取り扱いに注意が必要です。

参考文献

• NVD: CVE-2026-12480
• Keras修正コミット
• Huntr報告

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• 情報漏洩 に関するCVE・脆弱性記事一覧
• 機械学習 に関するCVE・脆弱性記事一覧

2026-07-02 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 0日）。

項目	公開時点	2026-07-02時点	変化の意味
CVSSスコア変化	9 (Critical)	5.5 (MEDIUM)	NVD再評価でスコアが下方修正
新規GHSAアドバイザリ	0件	1件	新たなGitHub Security Advisoryが発行

CVSSスコア変化

公開時点では「9 (Critical)」とされていたCVSSスコアが、NVDによる再評価の結果「5.5 (MEDIUM)」へと下方修正されました。これにより、本脆弱性のリスク区分はCritical（致命的）からMedium（中程度）となり、即時に対処が必要な最優先脆弱性ではなくなっています。しかし、依然としてKerasによる外部ファイル読み取りが可能であり、リスクがゼロになったわけではありません。運用上は、現行システムで攻撃対象となるファイルの有無や、同様のHDF5ベース運用環境への影響を引き続き慎重に確認し、必要に応じて速やかに対策を講じてください。

新規GHSAアドバイザリ

当初は「0件」でしたが、2026-07-02時点で新たに1件のGitHub Security Advisory（GHSA）が発行されていることが確認されました。GHSAは開発コミュニティやCI/CDパイプラインでの自動検知の対象となるため、今後はパッケージ自動更新ツールやセキュリティ監査システム上で本脆弱性への警告が表示されやすくなります。GHSAアドバイザリの公開は、対象リポジトリやパッケージに依存する環境で早期周知・対応が進みやすくなる効果が期待できます。自組織のソフトウェアライフサイクル管理でも、関連するGHSA及び自動更新の挙動に注意してください。

2026-07-09 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 6日）。

項目	公開時点	2026-07-09時点	変化の意味
CVSSスコア変化	9 (Critical)	5.5 (MEDIUM)	NVD再評価でスコアが下方修正
新規GHSAアドバイザリ	0件	1件	新たなGitHub Security Advisoryが発行

CVSSスコア変化：NVD再評価でスコアが下方修正

初公開時点で「9 (Critical)」とされていたCVSSスコアは、「5.5 (MEDIUM)」へと大きく下方修正されました。これはNVDによる再評価の結果であり、脆弱性が実際に悪用されるリスクや攻撃経路・影響範囲が当初の想定より限定的であったことを示しています。今後の運用においては、緊急対応の必要性は低下しましたが、依然として一定レベルの注意は必要です。関連システムを運用する場合は、通常のメンテナンスサイクルの中で本脆弱性への対応を進めることが推奨されます。

新規GHSAアドバイザリ：新たなGitHub Security Advisoryが発行

公開当初は未発行だったGHSA（GitHub Security Advisory）が新たに1件追加されました。これにより、オープンソース開発者やGitHubリポジトリ管理者への周知が強化され、パッケージ管理ツールなどとも連携した自動通知/警告がなされるようになります。GitHub上でKeras関連モジュールや派生ライブラリを運用・利用している場合、GHSAの内容を確認し、該当する場合は修正バージョンへのアップデートやワークアラウンド対応を改めて検討してください。