CVE-2026-15535 AkariAsai self-ragにおけるリモートから可能なデシリアライズ脆弱性対策AI Security実務ガイド

結論

• 危険度: Medium (CVSS 6.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-13 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-15535は、AkariAsaiのself-ragというソフトウェアの特定機能にリモートから悪意のあるデータを送り込み、任意のデシリアライズ操作を実行できる脆弱性です。攻撃者はこれを利用してシステムを不正操作できるため、AIやLLM（大規模言語モデル）関連の開発・運用者にとって優先的に対応すべき脆弱性です。

やさしく説明すると

イメージとしては、玄関の鍵が途中で壊れていて、悪い人が簡単に家の中に入れてしまう状態です。この場合、玄関の「index_meta.faiss」という引数が壊れた鍵の役割をしています。攻撃者がこの部分に細工をすると、普通は守られているはずの中の情報や機能が勝手に作動してしまうのです。つまり、家の中の大切なものを盗まれたり壊されたりするリスクがあります。

技術的な原因

この脆弱性はCWE-20（不適切な入力検証）とCWE-502（不適切なデシリアライズ）に該当します。不適切な入力検証は、プログラムが外部からの入力データを正しくチェックしない問題です。デシリアライズは、保存・転送したデータをプログラムの変数やオブジェクトに戻す処理で、ここに悪意のあるデータを通すと任意のコードや状態を作られる危険があります。対象の関数は`Indexer.deserialize_from`で、これがindex_meta.faiss引数のデータを検証なく処理します。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropic等）が漏洩し、悪用されるリスク
• LLMのコンテキストや顧客データを盗まれる可能性
• プロンプトインジェクションを介してエージェントを乗っ取られる
• モデルやRAG（Retrieval-Augmented Generation）データの改ざんや破壊
• 不正な操作により請求コストが急増する可能性
• テナント間での情報漏洩やインフラ全体へ横展開されるリスク
• AIコーディングツール（Cursor、Cline、Copilot等）経由でローカルファイルの読み取りや任意コード実行を許す恐れ
• IDE拡張のリモート操作や環境設定ファイル（.env等）漏洩による追加被害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは6.3で中程度の深刻度。実務的には注意が必要なリスクだが、最速の緊急対応を要するほどではない。
• EPSS（悪用予測スコア）は提供されていません。
• ランサムウェアによる悪用観測は不明（Unknown）で、報告されていません。
• 公開されているPoC（攻撃の証明コード）はありません。
• 攻撃はネットワーク越しに可能で、認証権限は低め（PR:L）。ユーザ操作は不要（UI:N）。ただし、攻撃の複雑度は低いため手軽な攻撃が可能です。
• ベンダーは問題を報告されており、対応が必要との認識はあるが、まだパッチなど修正版はリリースされていません。ローリングリリース方式のためバージョン区切りが曖昧です。

誰が動くべきか

• LLM GatewayやAgentフレームワーク運用チーム（LiteLLM、OpenRouter、LangChain、AutoGen等）
• MLインフラチーム（vLLM、Tritonなどを利用するチーム）
• RAGパイプラインを保守する担当者
• Notebookサーバ（Jupyter等）の管理者
• バイブコーダー開発者（Cursor、Cline、GitHub Copilot、Claude Code、Aiderなどの利用者）
• AIコーディングサンドボックス利用者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show self-rag

出力例:

Name: self-rag
Version: 1fcdc420e48f50a7d7ab1ece5494221b93252e99
Summary: ...

判定: Versionが 1fcdc420e48f50a7d7ab1ece5494221b93252e99 以下なら脆弱。修正後バージョンが出るまでは注意が必要。

Python（poetry）

poetry show self-rag

出力例:

name         self-rag
version      1fcdc420e48f50a7d7ab1ece5494221b93252e99
description  ...

判定: 同上。該当バージョン以下なら危険。

設定確認

この脆弱性は index_meta.faiss 引数のデータをデシリアライズ処理で使う部分にありますが、特定の設定依存は報告されていません。したがって、該当バージョンのself-ragを使っている時点でリスクがあります。

公開Nucleiテンプレートでの検出

現時点でCVE-2026-15535の公開Nucleiテンプレートはありません。検出は上記のバージョン確認で実施してください。

STEP 4: 修正を適用する

パッチ適用

本脆弱性の対象製品AkariAsai self-ragはローリングリリース方式を採用しています。したがって、修正版は明確なバージョン番号ではなく最新のコミットに随時更新される形となります。GitHubリポジトリのプルリクエスト #106 が修正候補となっています。

GitHub（ソースビルドまたはpip install）

pip install --upgrade git+https://github.com/AkariAsai/self-rag.git@main

判定: 最新のmainブランチを取得できれば修正済である可能性が高い。正式リリースを待てない場合の暫定対応として検討。

注意: パッチ適用前に必ずバックアップを取得し、ステージング環境で動作検証してください。ローリングリリースのため最新版の履歴を確認し、安定性にも注意してください。

パッチ即時適用ができない場合の暫定対応

公式な暫定対応は提示されていません。現状は該当機能の使用を停止するか、アクセス制御で脆弱なAPI呼び出しを遮断してください。また、ネットワークレベルで対象サービスへの外部アクセスを制限することも推奨されます。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを、修正後にもう一度実行します。

期待される出力

Python（pip）

pip show self-rag

出力例:

Name: self-rag
Version: [最新コミットまたは修正版のバージョン]
Summary: ...

判定: バージョンが 1fcdc420e48f50a7d7ab1ece5494221b93252e99 より新しければOKです。

追加で確認すべきこと

公開Nucleiテンプレートはありませんが、アクセスログやシステムログに不審なアクセスや異常なAPI呼び出しがないか監視してください。

補足: 悪用観測状況

現時点でCVE-2026-15535の悪用に関する報告はありません。GitHub上にはPoC公開もなく、Exploitタグも付いていません。ランサムウェアグループの悪用も確認されていません。ただし攻撃はネットワーク経由で低権限から可能なため、今後の悪用には警戒が必要です。

補足: CVSSメトリクス詳細

• AV（攻撃元）: NETWORK（ネットワーク経由） — 攻撃者は遠隔から攻撃可能
• AC（攻撃複雑度）: LOW（低） — 攻撃方法は簡単で特別な条件を必要としない
• PR（必要権限）: LOW（低） — 攻撃に最低限の権限だけ必要
• UI（ユーザ操作）: NONE（不要） — ユーザの介入は必要ない
• S（スコープ）: UNCHANGED（影響範囲は変わらない） — 攻撃範囲は元の権限に留まる
• C（機密性）影響: LOW（軽微） — 情報漏洩が発生する可能性が少しある
• I（完全性）影響: LOW（軽微） — データ改ざんのリスクがあるが大きくない
• A（可用性）影響: LOW（軽微） — サービス停止や障害の可能性は限定的

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3の対象バージョン確認を行い、該当していればSTEP 4の修正（修正版の適用または暫定対応）を実施してください。最後にSTEP 5で修正の反映を再確認することが重要です。

Q. パッチが適用できない場合、どうすればよいですか？

A. 脆弱なAPIへのアクセス制御やネットワーク隔離を行い、該当機能の使用停止を検討してください。公式の暫定対応は示されていませんが、被害を防ぐための運用ルール変更が必要です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーから操作ログなどのIOCは公表されていません。アクセスログやAPI呼び出しの異常を詳細に監視し、不審なアクセスがないか調査してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは理論上の深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方を参照することで対応優先度を正確に判断できます（本件はEPSSデータ未提供）。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-502（不適切なデシリアライズ）はLLM ProxyやAgenticフレームワークの開発でよく見られます。類似のリスクを減らすため全構成の入力検証強化が推奨されます。

参考文献

• NVD – CVE-2026-15535
• GitHub Advisory Database GHSA-xp65-m377-m42w
• GitHub Issue #105
• GitHub Pull Request #106
• VulDB – CVE-2026-15535

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• デシリアライゼーション に関するCVE・脆弱性記事一覧
• Vector DB に関するCVE・脆弱性記事一覧