【高】CVE-2026-44246 nnU-NetのAgenticワークフローにおけるプロンプトインジェクション脆弱性対策ガイドAI Security視点でのLLM運用者必読

結論

• 危険度: High (CVSS 7.2)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-05-12 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-44246は、nnU-NetのIssue Triageワークフローで、攻撃者が認証不要で悪意ある内容をIssueに投稿し、Agentic Workflow Injection（エージェントワークフローの乗っ取り）が発生します。これにより、LLMゲートウェイ運用者は意図しない問題管理操作のリスクが高まるため最優先対応すべきです。

やさしく説明すると

これは、GitHubのIssueを使って悪意ある人が自動処理のAIエージェントを騙すような攻撃です。合言葉が簡単に推測できる玄関ドアのように、誰でも不正に操作が可能です。そうすると、本来の問題管理以外にAIが勝手に動いてしまい、機密情報の誤操作や管理混乱が起きる危険があります。特にAI GatewayやAgentフレームワークを運用する側が注意すべき問題です。

技術的な原因

この脆弱性は、GitHub Actionsのワークフローで設定されたallowed_non_write_users: ${{ github.event.issue.user.login }}により、認証されたGitHubユーザーのIssue投稿内容が直接LLMのプロンプトに注入（Agentic Workflow Injection）されることが原因です。Agentic Workflow Injectionとは、エージェント動作を悪用できる弱点です。認証不要（PR:NONE）、ユーザ操作不要（UI:NONE）で、ネットワーク経由（AV:N）で攻撃可能なため、攻撃複雑度が低い（AC:LOW）点が特徴です。

影響を受けると何が困るか

• 不正なIssue操作によるAIエージェントの誤動作や権限濫用
• 顧客やプロジェクトの重要データがAIエージェントに誤って送信される危険
• Agentic脆弱性を利用したプロンプト改ざんによる権限昇格
• 認証情報の漏洩や操作ログの改竄
• AI GatewayやAgentフレームワークの不正制御に伴うサービス障害
• バイブコーダーなどAI駆動開発環境での誤動作リスク増大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは 7.2（High）です。ネットワーク経由で認証不要・ユーザ操作不要で攻撃可能なため実務的に恐いです。
• EPSSスコアは現段階で未提供のため予測できません。
• ランサムウェアによる悪用報告は現時点でありません（Unknown）
• 公開PoCコードや武器化の報告は現時点でゼロです。
• 攻撃は認証不要・ユーザ操作不要なので検出までの時間も短い可能性があります。
• ワークフローの設定値allowed_non_write_usersへの注入が根本原因で、間違った権限委譲や認証欠陥に該当します。

誰が動くべきか

• nnU-Netや類似のAI/LLMパイプラインを運用するAI Gateway管理者
• Agentフレームワークのセキュリティ責任者および開発チーム
• GitHub Actions等でAgentic Workflowを利用しているSRE/SecOpsチーム
• バイブコーダー開発者やAI駆動開発環境においてGitHub連携を活用している開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show nnunet

出力例:

Name: nnunet
Version: 2.4.0
Summary: nnU-Net semantic segmentation framework

判定: バージョンが 2.4.0 以下なら脆弱。2.4.1 以上なら安全。

設定確認

本脆弱性はGitHub Actionsワークフローファイル .github/workflows/issue-triage.yml 内の設定に依存します。特に allowed_non_write_users: ${{ github.event.issue.user.login }} が設定されている場合に脆弱になります。バージョンが該当していれば脆弱です。設定を直接確認し、該当属性が存在しないかを確認してください。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートは現時点で存在しません。バージョン確認とワークフロー設定のレビューが検出手段です。

STEP 4: 修正を適用する

パッチ適用

Python環境（pip）

pip install --upgrade nnunet

判定: バージョンが 2.4.1 以上に上がれば修正適用完了です。

注意: アップグレード前に必ず業務環境のバックアップやステージング環境で動作検証を実施してください。ダウンタイムが発生する場合は計画的に対応してください。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。GitHub Actionsのワークフローを一時的に無効化するか、問題の設定allowed_non_write_usersを手動で除去することを検討してください。また、外部からのIssue投稿のアクセス制御を強化してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Python（pip）

pip show nnunet

出力例:

Name: nnunet
Version: 2.4.1
Summary: nnU-Net semantic segmentation framework

判定: バージョンが 2.4.1 以上ならOK

追加で確認すべきこと

• パッチ適用後、GitHub Actionsの該当ワークフロー設定内に脆弱だった設定が除去されているかを確認してください。
• 脆弱性に関連しそうな不審なIssueやコメント、GitHub Actionsログの異常がないか監査してください。
• 公開Nucleiテンプレートが今後リリースされたら再度検査を実施してください。

補足: 悪用観測状況

現時点でCISA KEVには未登録で、ランサムウェアによる悪用報告もありません。公開されているPoCやエクスプロイトも存在しないため、実際の悪用は確認されていません。ただし、CVSSスコアが高いため早期の対応が望まれます。

補足: CVSSメトリクス詳細

• AV（攻撃元）: NETWORK（ネットワーク経由）
• AC（攻撃複雑度）: LOW（攻撃は容易）
• PR（必要権限）: NONE（認証不要）
• UI（ユーザ操作）: NONE（ユーザ操作不要）
• S（スコープ）: CHANGED（権限境界超え）
• C（機密性影響）: LOW（情報漏洩の可能性あり）
• I（完全性影響）: LOW（データ改ざんの可能性あり）
• A（可用性影響）: NONE（サービス停止などの影響なし）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象バージョンか確認し、STEP 4でパッチ適用（バージョン2.4.1以上へのアップデート）を実施。その後STEP 5で修正後のバージョンと設定内容を検証してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. GitHub Actionsの該当ワークフローを一時停止、もしくは問題の設定allowed_non_write_usersを手動で除去してください。加えてIssue投稿アクセスの制限やWAFなどネットワークレベルの防御も検討してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. GitHub ActionsログやIssueの履歴から不審なコメント・操作を監査してください。併せて該当ワークフローの実行履歴や認証異常ログを確認しましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは技術的な深刻度ですが、EPSSは「実際にどれだけ悪用されやすいか」を示します。この両者を合わせて見ると対応優先度を正しく判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様のAgentic Workflow Injection脆弱性はGitHub ActionsなどのCI/CD環境で他にも報告されています。権限設定の誤りによる自動化エージェントの暴走リスクとして注意が必要です。

参考文献

• NVD – CVE-2026-44246
• nnU-Net GitHub Security Advisory
• JVN iPedia 検索結果
• CISA KEV Catalog
• GitHub Advisory Database

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• LLM に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧