保守終了の推論サーバーMMSに欠陥2件｜AWSは修正せず移行を要請

2026年10月23日 10時30分（米国太平洋夏時間、協定世界時で17時30分）、AWS はセキュリティ勧告 2026-148-AWS を公開しました。対象は、機械学習のモデルを推論（学習済みのモデルで答えを出す処理）用に配信する OSS「Multi Model Server（以下 MMS）」です。勧告は、CVE-2026-115812 と CVE-2026-115813 の2件の欠陥を挙げ、重要度を「要対応」に区分しました。影響を受けるのは、1.1.11 以前、つまり公開されたすべての版です。MMS はすでに保守を終えており、AWS はどの配布元でも修正版を出さず、出す予定もないと書いています。

10月23日 17:30 UTC に公開された勧告 2026-148-AWS

勧告の題は「CVE-2026-115812 と CVE-2026-115813：Amazon Web Services の Multi Model Server の問題」です。区分は「重要（要対応）」で、公開は10月23日 10時30分（米国太平洋夏時間）、日本時間では10月24日 午前2時30分にあたります。勧告は MMS を、機械学習のモデルを推論用に配信する OSS と説明しています。配布元として GitHub・PyPI・Docker Hub の3つを挙げました。

勧告の中身は4つの部分に分かれます。2件の欠陥の説明、影響を受ける版、修正版の有無と AWS の勧め、修正版が無い間の回避の方法です。欠陥の発見者として、勧告は Sujal Tuladhar 氏の名前を挙げ、連携した開示（修正や公表の時期を開発元と調整して公表するやり方）に協力したことに謝意を示しました。

同じ日のうちに、2件は脆弱性の公開データベースにも載りました。米国の脆弱性データベース NVD への掲載は 18:17 UTC、GitHub の勧告データベースへの掲載は 18:31 UTC です。AWS の勧告から約1時間で、2件の CVE 番号が外部のデータベースから引ける状態になりました。

MMS の役割と、推論と管理の2つの窓口

MMS は、学習を終えたモデルをサーバーに載せ、外部からの問い合わせに推論の結果を返すための仕組みです。開発元の説明では、どの機械学習の枠組みで作ったモデルでも配信できます。本体は Java で動き、モデルの処理を Python で受け持つ作りです。モデルの重みや処理の部品は、モデルの圧縮ファイルという1つのファイルにまとめて配る仕組みでした。

MMS には、外から呼ばれる窓口が2つあります。1つは推論の窓口で、アプリはここにデータを送って答えを受け取ります。もう1つは管理の窓口で、モデルの登録・削除・処理の数の変更を受け付けます。モデルの登録では、モデルの圧縮ファイルの取得先を指定し、MMS がそれを取りに行って展開します。

開発元の設定の説明書は、MMS は認証の仕組みを持たないと明記しています。そのため既定では、推論の窓口（8080番）も管理の窓口（8081番）も、同じ機械の中からしか届かない設定になっていました。説明書には、開発元が配った Docker のイメージでは既定の値が一部違うとも書かれています。今回の2件は、どちらも管理の窓口でモデルを登録する流れの中にあります。

2017年の公開から2025年11月の読み取り専用化までの経緯

MMS の歴史は、Apache MXNet という深層学習の枠組みの配信用の道具として始まりました。GitHub のリポジトリが作られたのは2017年10月4日です。PyPI には当初「Model Server for Apache MXNet」という説明の別の名前で載り、2019年11月に今の名前のパッケージへ移りました。旧い名前の GitHub のリポジトリは、今の MMS のリポジトリへ転送されます。

日付（UTC）	出来事
2017/10/04	GitHub にリポジトリが作られる（当初は MXNet 向けの配信の道具）
2017/11/30	PyPI に旧い名前のパッケージが初めて載る（最後は2019年11月の 1.0.8）
2018/10/30	版 1.0.0 を公開
2019/11/16	PyPI に今の名前のパッケージが初めて載る
2019/11/21	Docker Hub に AWS の深層学習チーム名義の MMS のイメージが登録される（最終更新は2020年1月30日）
2020/04/21	AWS が PyTorch 向けの配信の仕組み TorchServe を発表
2023/06/19	最後の版 1.1.11 を GitHub で公開（PyPI への掲載は6月20日）
2023/10/02	TorchServe の欠陥（ShellTorch と呼ばれた件）の勧告が出る
2024/05/20	リポジトリへの最後の変更（通信の部品 Netty の版の更新）
2025/11/20	リポジトリが保存扱い（読み取り専用）になる（AWS の勧告の記載）
2026/10/23 17:30	AWS が勧告 2026-148-AWS を公開（日本時間10月24日 2:30）
2026/10/23 18:17	NVD に CVE-2026-115812 などが載る
2026/10/23 18:31	GitHub の勧告データベースに2件が載る

表のとおり、最後の版 1.1.11 から勧告までは3年4か月あまり空いています。リポジトリへの最後の変更は2024年5月で、その1年半後に読み取り専用になりました。勧告は、MMS の保守の終了と、2025年11月20日からリポジトリが読み取り専用であることを、欠陥の説明より先に書いています。保守を終えた日そのものの日付は、勧告にはありません。

CVE-2026-115812：モデルの圧縮ファイルの展開で外に書き込める欠陥

1件目は、モデルの圧縮ファイルを展開する処理の欠陥です。AWS の説明では、細工した圧縮ファイルを使うと、本来の展開先の外にファイルを書き込めることがあります。GitHub の勧告はこれを、相対的な道筋の指定で決められた場所の外に出る欠陥（CWE-23）に分類しました。圧縮ファイルの中の名前の扱いが、展開先の外を指す指定を止めていなかった、という種類の欠陥です。

影響について、AWS はMMS の処理の権限でコードを実行される可能性があると書いています。展開先の外に書き込めると、サーバーが後で読み込むファイルを置き換えられるためです。GitHub の勧告の説明文は、遠隔の攻撃者が細工したモデルの圧縮ファイルで任意のコードを実行できるかもしれない、という書き方です。

欠陥の深刻さの評価（CVSS 3.1）は 9.8 で、GitHub の区分は「緊急」です。悪用に必要な細工の具体的な形は、AWS も GitHub も公表していません。MMS は推論のために Python の処理を動かすので、権限を取られた場合の影響は、そのサーバーに置いたモデルや鍵、つながる先のデータに及びえます。

CVE-2026-115813：モデルの取得先を使って内部へ通信させる欠陥

2件目は、モデルを取得する道筋の欠陥です。管理の窓口でモデルを登録するとき、取得先の指定を細工すると、MMS が想定していない宛先へ通信することがあります。GitHub の勧告は、これをサーバー側の通信の乗っ取り（SSRF。サーバーに、攻撃者の代わりに別の宛先へ問い合わせさせる欠陥。CWE-918）に分類しました。説明文には、内部のネットワークの宛先が挙がっています。

内部のネットワークには、外から直接は届かない管理用の画面や、クラウドのサーバーの情報を返す仕組みが置かれていることがあります。SSRF は、外から届く MMS を踏み台にして、そうした宛先に問い合わせを送れる欠陥です。AWS の勧告は、管理の窓口が内部のネットワークの意図しない宛先へ問い合わせを送りうると説明するにとどめ、どの宛先で何が起きうるかの例は挙げていません。

深刻度は 5.8 で、GitHub の区分は「警告」です。1件目と比べて低いのは、評価の上で、漏れうる情報の量を「低」と置き、改ざんと停止への影響を「なし」と置いているためです。2件は別々の CVE 番号ですが、どちらもモデルを登録する同じ流れの中にあります。

深刻度 9.8 と 5.8 の内訳

2件の評価の項目は、前半がそろっています。ネットワーク越しに攻撃でき、条件は複雑でなく、権限も利用者の操作も要らない、という4項目です。AWS は、どちらの欠陥も管理の窓口の認証を必要としないと書きました。評価の項目の「権限は不要」は、この記述と合っています。

違うのは後半です。1件目は、影響の範囲が MMS の中にとどまる前提で、情報の漏れ・改ざん・停止の3つを、すべて「高」と置いています。2件目は、影響の範囲が MMS の外に広がる前提（範囲の変更）です。そのうえで、情報の漏れだけを「低」とし、改ざんと停止は「なし」と置いています。SSRF では、通信の宛先が MMS とは別の仕組みなので、範囲の変更が付きます。

これらの点数は、GitHub の勧告データベースに載った評価です。2件の GitHub の勧告は「未審査」の区分で、GitHub の担当者による確認はまだ付いていません。NVD 側の独自の評価が付くかどうかは、10月23日 20:38 UTC の時点で確かめられていません。点数は今後の審査で変わる可能性があります。

影響を受ける版と配布元：1.1.11 以前のすべて

勧告が対象とするのは、1.1.11 以前の版です。勧告はこれを「公開されたすべての版」と言い換えています。PyPI には、毎日の試験版を含めて 1,113 の版が載っており、最新は2023年6月20日に載った 1.1.11 です。旧い名前のパッケージの版について、勧告は名前を挙げていません。

配布元・経路	対象	勧告や公開情報での扱い
GitHub のリポジトリ	1.1.11 以前のすべての版	2025年11月20日から読み取り専用。修正は入らない
PyPI の今の名前のパッケージ	1.1.11 以前（試験版を含む）	修正版は無く、出る予定もない
Docker Hub のイメージ	公開された MMS のイメージ	修正版は無い。AWS の深層学習チーム名義のものは2020年1月から更新なし
MMS を写して作った派生版	AWS の勧告の対象外の独自の版	AWS は派生版の保守者に、2つの直し方を案内
MMS を組み込んだ自社のイメージ	中で 1.1.11 以前が動くもの	勧告に個別の記載なし。中の MMS は対象の版

Docker Hub の AWS の深層学習チーム名義のイメージは、10月23日の時点で取得の回数が約10万3千回、目印は8つでした。回数は取得の延べ数で、動いている環境の数ではありません。MMS を部品として自社のイメージに組み込んだ場合も、中で動くのは 1.1.11 以前です。そのため、版の番号で対象から外れる環境はありません。

認証の無い管理の窓口と、届く範囲で変わる危なさ

AWS は、2件とも管理の窓口の認証を必要としないと書いたうえで、管理の窓口をネットワークから届くアドレスで開いている環境ほど危ないと述べました。MMS には、もともと認証の仕組みがありません。管理の窓口に届く相手は、誰でもモデルを登録できる作りです。

開発元の説明書の既定の値では、管理の窓口は同じ機械の中からしか届きません。ただし、コンテナで動かす場合は、外のコンテナや別のサーバーから呼べるよう、すべてのアドレスで受け付ける設定に変えることが多くなります。説明書は、MMS を Docker のコンテナの中で動かすことを、安全のための勧めとして挙げていました。そのコンテナの中で窓口が開いていれば、同じネットワークにいる相手には管理の窓口が届くことになります。

危なさは、窓口に届く相手の範囲で決まります。インターネットから届く場合は誰でもが相手になり、社内のネットワークに閉じている場合は社内の端末や別の仕組みが相手になります。AWS の勧告は、管理の窓口が届く範囲ごとの危なさの程度を数字で示してはいません。外から届く MMS の数も、勧告には書かれていません。

SageMaker 向けの設定では、管理と推論が同じ番号の口に乗る

勧告は回避の方法を書いたあと、それが使えない構成として「SageMaker 型の構成」を挙げました。この構成では、管理の窓口がすべてのアドレスで、推論と同じ番号の口に置かれます。そのため管理の窓口を自分の機械の中だけに絞ると、モデルを読み込む働きまで止まってしまう、と AWS は説明しています。

この構成は、AWS が公開していた SageMaker 向けの推論の部品で確かめられます。SageMaker の推論の部品のリポジトリは、自らを「MMS の上に作られた」と説明しています。設定を作る処理を見ると、推論の窓口と管理の窓口の両方を、すべてのアドレスで、同じ番号の口（既定では8080番）に置いていました。SageMaker が推論の呼び出しと死活の確認に使う口と、管理の口が1つになる作りです。このリポジトリも、現在は保存扱いで読み取り専用です。

ほかに、AWS の公開リポジトリのうち2つで、MMS とのつながりを確かめました。MXNet 向けの SageMaker の推論の部品は、上の部品に依存しています。Hugging Face のモデル向けの SageMaker の推論の部品は、追加の選択肢として MMS の 1.1.4 以上を入れる指定を持っています。ただし勧告は「SageMaker 型の構成」と書くだけで、どの製品やどの公式のイメージが該当するかは名指ししていません。

未審査の GitHub の勧告と、空のままの対象パッケージの欄

GitHub の勧告データベースに載った2件（GHSA-3v4f-xjg3-3j32 と GHSA-g55x-6xv3-fpjr）は、どちらも「未審査」の区分です。10月23日 20:38 UTC の時点で、どちらにも影響を受けるパッケージの欄に記載がありません。PyPI のどのパッケージの、どの版が対象かが、データとしては結び付いていない状態です。

GitHub の依存関係の警告の仕組み（Dependabot）は、審査を終えて対象のパッケージが記された勧告をもとに警告を出します。未審査で対象のパッケージが空の勧告では、MMS を依存関係に持つリポジトリにも警告が出ない状態です。説明文には、MMS が保守を終えていて修正版が無いこと、利用をやめて移行すべきことが書かれています。

版の範囲の欄も空です。通常の勧告なら「この版から直った」という版が書かれますが、MMS には直った版がありません。今後 GitHub が審査をして対象のパッケージを記すかどうか、記す場合にどのパッケージの名前が入るかは、10月24日の時点で分かりません。

2023年の TorchServe「ShellTorch」との共通点

推論サーバーの管理の窓口が問題になった件は、2023年にもありました。AWS が2020年4月に発表した PyTorch 向けの配信の仕組み TorchServe で、セキュリティ企業 Oligo が2023年10月3日に3つの問題を公表しました。Oligo はこれを「ShellTorch」と名付けています。GitHub の勧告 GHSA-8fxr-qfr9-p34w（CVE-2023-43654）は、TorchServe の SSRF を深刻度9.8と評価し、0.8.2 より前の版を対象としました。

Oligo の報告によると、問題は3つありました。1つ目は、管理の窓口が、説明書の記述と違い、既定ですべてのアドレスで開いていたことです。2つ目は、モデルの取得先に制限が無く、すべての宛先が許されていたことです。3つ目は、設定の読み込みの部品（SnakeYAML）の欠陥で、遠隔からコードを実行される問題です。Oligo は、外から届く TorchServe の公開されたアドレスが数万あったと報告しました。AWS は2023年10月2日に、この件の勧告 AWS-2023-009 を出しています。

MMS の2件と並べると、モデルの取得先を使った SSRF と、管理の窓口の届く範囲という2つの点が重なります。違いは、TorchServe には当時修正版 0.8.2 が出たのに対し、MMS には修正版が無いことです。Oligo は、0.8.2 は SSRF について警告を出す変更にとどまったとも書いています。MMS と TorchServe の作りの関係について、AWS の勧告は触れていません。

TorchServe も2025年に保守を縮小

TorchServe のリポジトリには、2025年2月28日に「保守の縮小」の告知が加わりました。告知は、今後の更新・不具合の修正・新しい機能・セキュリティの修正の予定が無いこと、欠陥が直されない可能性があることを書いています。最後の版は2024年9月30日の 0.12.0 で、リポジトリはその後、保存扱いで読み取り専用になりました。

TorchServe の説明書の冒頭には、保守の縮小の告知の下に、セキュリティの変更の告知も残っています。認証の鍵を既定で求め、モデルを管理する窓口の操作を既定で止める、という変更です。告知はこの変更を、許可の無い呼び出しを防ぎ、悪性のコードがサーバーに持ち込まれるのを防ぐためのものと説明しています。MMS には、こうした変更が入らないまま保守が終わりました。

AWS が公開した2つの推論サーバーは、どちらも新しい修正が入らない状態です。AWS の勧告は、移行先として特定の製品の名前を挙げていません。「保守されている配信の仕組み」と書くだけです。TorchServe を移行先とする案内も、勧告にはありません。

現時点で分かっていないこと

10月23日 20:38 UTC（日本時間10月24日 5時38分）の時点で、AWS の勧告と GitHub の勧告データベースに書かれていない点は次の6つです。どれも続報で変わりえます。

1. 2件が実際の攻撃に使われたかどうか（AWS は悪用の有無に触れていない）
2. MMS を動かしている環境の数と、管理の窓口がインターネットから届く環境の数
3. AWS の管理型サービスの公式のイメージが「SageMaker 型の構成」に当たるか、当たる場合に更新されたか
4. 旧い名前のパッケージ（MXNet 向けの配信の道具の頃の版）が対象に含まれるか
5. GitHub が勧告を審査し、対象のパッケージを記すかどうか
6. 発見者の所属と、AWS に報告した時期

勧告は、2件の欠陥の細かな仕組みや、悪用の具体的な条件を公表していません。発見者の名前は勧告の謝辞にあるだけで、独自の報告や解説は、10月23日 20:38 UTC までに確認した範囲では見つかりませんでした。報道の扱いも、この時点では確認できていません。

SageMaker の推論の部品が MMS の上に作られていることは、AWS 自身の公開リポジトリで確かめられます。ただし、その部品が AWS の管理型サービスのどの公式のイメージに、どの版で入っているかは、勧告にも部品のリポジトリにも書かれていません。自社で作ったイメージか、AWS の公式のイメージかで扱いが変わるのかどうかも、勧告は示していません。

AWS が案内していること：利用の中止と移行

AWS は勧告で、MMS の利用をやめ、保守されている配信の仕組みへ移るよう勧めました。GitHub の勧告の説明文も同じ内容です。MMS を写して独自に保守している派生版の保守者には、2つの直し方を求めました。展開先の外を指す圧縮ファイルの中身を拒むこと、モデルの取得先を明示した許可の一覧に限ることです。

移るまでの回避の方法として、AWS は、推論と管理が別の番号の口に分かれている構成について、管理の窓口を自分の機械の中だけに絞ることを挙げました。あわせて、取得の道筋に外部の取得先を渡さないことも求めています。一方、管理と推論が同じ口に乗る「SageMaker 型の構成」では、この回避は使えません。AWS はそうした環境に対し、移行を優先し、それまでは配信の口に届く相手を信頼できる呼び出し元に限るよう求めました。

具体的な設定の変え方は、勧告に書かれた範囲の案内です。AWS は、セキュリティに関する問い合わせを、勧告に載せた窓口で受け付けています。勧告には、移行先の候補や、移行にかかる期間の目安は書かれていません。

よくある質問

MMS を直接入れた覚えが無くても対象になりますか

MMS は、AWS の SageMaker 向けの推論の部品の土台として使われていました。こうした部品を使って作った推論用のイメージでは、中で MMS が動いていることがあります。対象かどうかは、動いているのが MMS の 1.1.11 以前かで決まり、AWS の勧告ではそれがすべての版です。

版を上げれば直りますか

直りません。AWS は、どの配布元でも修正版は無く、出す予定も無いと書いています。最新の 1.1.11 も対象です。AWS が勧めているのは、利用の中止と、保守されている配信の仕組みへの移行です。

管理の窓口を外から届かないようにしていれば安全ですか

AWS は、管理の窓口がネットワークから届くアドレスで開いている環境ほど危ないと書きました。届く範囲を絞ることは、移るまでの回避として勧告に挙がっています。ただし、欠陥そのものは残ります。勧告は回避を移行までの扱いとして書いており、恒久的な解決とはしていません。

TorchServe を使っている場合も関係がありますか

今回の勧告の対象は MMS だけで、TorchServe には触れていません。TorchServe は2023年に別の欠陥（ShellTorch）の勧告を受け、2025年2月からは保守の縮小を告知しています。TorchServe を使っている場合は、TorchServe のリポジトリの告知が別に当てはまります。

• 確認した日時：2026年10月23日 20:38 UTC（日本時間10月24日 5時38分）。AWS の勧告 2026-148-AWS、GitHub の勧告データベースの2件、MMS と TorchServe のリポジトリ、SageMaker の推論の部品のリポジトリ、PyPI と Docker Hub の公開情報を確認しました
• GitHub の2件の勧告は未審査で、深刻度の点数や対象のパッケージの欄は審査で変わる可能性があります
• TorchServe の ShellTorch の件の内容は、2023年の GitHub の勧告と Oligo の報告によります

まとめ

AWS は2026年10月23日、保守を終えた推論サーバーの OSS「Multi Model Server」に、2件の欠陥があると公表しました。モデルの圧縮ファイルの展開で決められた場所の外に書き込める欠陥（深刻度9.8）と、モデルの取得先を使って内部へ通信させる欠陥（深刻度5.8）です。どちらも管理の窓口の認証を必要とせず、1.1.11 以前のすべての版が対象で、修正版は出ません。

AWS は利用の中止と移行を求め、管理と推論が同じ口に乗る SageMaker 型の構成では、移行を優先するよう書きました。悪用の有無、動いている環境の数、AWS の公式のイメージへの影響、GitHub の勧告の審査の行方は、10月23日 20:38 UTC の時点で公表されていません。続報は AWS の勧告と GitHub の勧告データベースに載ります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。