NLTKが勧告11件を一度に公開｜修正版は5日前の3.10.4

2026年10月26日、自然言語処理の Python ライブラリ NLTK の開発チームは、リポジトリでセキュリティ勧告11件を公開しました。日本時間の16時59分から23時17分までの約6時間に、深刻度が高の6件と中の5件が順に公表されています。11件すべての修正版は、5日前の10月21日に配布された 3.10.4 です。対象は3.10.3 以前の NLTK で、11件とも 3.10.4 で修正されています。内訳は、細工した入力で処理に時間がかかり続ける計算量の攻撃が6件、ファイルの読み書きを制限する仕組みを越える問題が4件、外部プログラムの起動の問題が1件です。

10月26日に公開された勧告11件と、修正版 3.10.4

勧告は、NLTK のリポジトリ（nltk/nltk）の「セキュリティ勧告」として公開されました。1件目は協定世界時（UTC）の10月26日7時59分、最後の11件目は同じ日の14時17分です。日本時間では16時59分から23時17分にあたります。11件の「修正された版」の欄は、すべて 3.10.4です。

深刻度は高が6件、中が5件で、緊急と低はありません。脆弱性の深刻さを10点満点で表す CVSS の値は、高の6件が 7.5 から 7.8、中の5件が 5.3 から 6.8 です。1件だけ CVSS の第4版で 6.3 と評価され、残る10件は第3版で評価されています。10月27日時点で、11件のいずれにも CVE の番号は付いていません。

NLTK のリポジトリ勧告は、これで合計49件になりました。1日に公開された件数としては、8月7日の10件を上回り最多です。修正版の 3.10.4 は、今回の11件に加えて、8月12日と9月29日に公開された勧告各1件の修正版でもあります。3.10.4 を修正版とする勧告は、合わせて13件です。

NLTK は自然言語処理の教材と前処理で使われてきた Python ライブラリ

NLTK（Natural Language Toolkit）は、文章を単語や文に分ける処理、品詞の付与、構文の解析、コーパスの読み込みなどをまとめた Python のライブラリです。リポジトリは2009年に GitHub で作られ、スターは約14,800です。ライセンスは Apache 2.0 で、3.10.4 が動く Python は 3.10 以降です。

大学の講義や入門書の教材として長く使われてきたほか、AIの開発でも、学習用の文章の前処理や評価の指標の計算で使われています。検索拡張生成（RAG、社内文書を検索して生成AIの回答に使う仕組み）では、文書を文の単位で区切る処理に NLTK を使う構成もあります。こうした使い方では、利用者や外部から集めた文章がそのまま NLTK に渡ります。

NLTK には、ライブラリ本体とは別に、辞書やコーパスなどのデータを取得して置く「データ領域」があります。開発チームは2026年に入ってから、このデータ領域の外のファイルを読み書きさせない仕組み pathsec（パスセック）を足しました。今回の11件のうち4件は、この pathsec の制限を越える問題です。

10月20日から26日までの経緯：配布が先、勧告が後

修正版の配布から勧告の公開までの流れは、次のとおりです。時刻は協定世界時（UTC）と日本時間の両方で記します。

日時（UTC）	日本時間	出来事
10月20日 04:15	10月20日 13:15	3.10.4 の候補版（rc1）のタグを作成
10月21日 11:30	10月21日 20:30	GitHub で 3.10.4 を公開
10月21日 11:34	10月21日 20:34	PyPI に 3.10.4 を登録
10月26日 07:35〜07:40	10月26日 16:35〜16:40	9月29日と8月12日の勧告各1件を更新
10月26日 07:59	10月26日 16:59	勧告1件目（中・Bllip の構文解析器のモデルのパス）を公開
10月26日 09:47〜10:07	10月26日 18:47〜19:07	勧告6件（高4件・中2件）を約20分で順に公開
10月26日 14:11〜14:17	10月26日 23:11〜23:17	勧告4件（高2件・中2件）を約5分で順に公開

勧告は3つの時間帯に分かれて公開されました。2回目の6件は約20分、3回目の4件は約5分のあいだに、数分おきに出ています。11件の公開の直前には、9月29日と8月12日に公開済みだった勧告2件の記載が更新されました。

修正版の配布から勧告の公開までは、5日空いています。この間、修正の中身はリリースノートと変更の記録で読める状態でしたが、どの欠陥がどの版で直ったかを示す勧告は出ていませんでした。勧告の公開で、脆弱性の情報を集めるデータベースや依存部品の検査の道具が、3.10.3 以前を「修正の必要な版」として扱える状態になりました。

11件の内訳：高6件・中5件、計算量の攻撃が6件

11件を、深刻度と対象の版、欠陥の種類で並べると次のようになります。勧告の題名は英語のため、内容を日本語で短く記します。

勧告	深刻度（CVSS）	対象の版	内容
GHSA-v8f3-6phw-6mh9	高（7.5）	3.10.3 以前	CoNLL 形式のコーパスの意味役割の読み込みで二次時間の処理
GHSA-r53h-rw34-8h97	高（7.5）	3.10.3 以前	構文木をチョムスキー標準形に変える処理で二次時間の処理
GHSA-89p3-fcch-88ph	高（7.5）	3.10.3 以前	CCG（組合せ範疇文法）の辞書の解析で二次時間の処理
GHSA-8fx7-8jr8-84rv	高（7.5）	3.10.3 以前	段階実行型の再帰下降構文解析器に時間の上限がない
GHSA-ffr9-mgrr-wcvr	中（5.3）	3.2.5 以上 3.10.3 以下	Treebank 方式の単語分割の位置計算で二次時間の処理
GHSA-gpwc-27cw-rh9r	中（5.3）	3.6 以上 3.10.3 以下	音節の分割で二次時間の処理
GHSA-7mxv-7h3q-9324	高（7.8）	3.10.3 以前	Graphviz の作図プログラムを信頼確認なしに起動
GHSA-qg35-44qx-7vrr	高（7.5）	3.10.0 以上 3.10.3 以下	YCOE コーパスの読み込みでシンボリックリンクから領域外を読む
GHSA-fg9w-wfp5-j933	中（6.8）	3.10.0 以上 3.10.3 以下	Bllip の構文解析器がモデルのパスを検査せず渡す
GHSA-xmfg-f9cm-w86q	中（6.5）	3.9.4 以上 3.10.3 以下	chat80 の SQLite 照会がシンボリックリンクで領域外を読む
GHSA-59f9-gqg8-mqpj	中（第4版 6.3）	3.10.3 以前	最大エントロピー分類器のパラメータ保存と読み込みのパス走査

種類ごとに数えると、計算量の攻撃が6件、データ領域の制限を越える問題が4件、外部プログラムの起動が1件です。欠陥の分類（CWE）では、計算量の6件すべてに、資源の無制限な消費を表す CWE-400 と、効率の悪いアルゴリズムを表す CWE-407 が付いています。制限を越える4件にはパスの走査（CWE-22）やリンクのたどり（CWE-59）が、外部プログラムの1件には検索パスの問題（CWE-426・CWE-427）が付いています。

対象の版の下限は、勧告ごとに違います。半数以上は下限を「3.10.3 以前」とだけ書き、どの版で入ったかを調べていません。Treebank 方式の単語分割の件は3.2.5 から、音節の分割の件は 3.6 から続いていました。反対に、pathsec の制限を越える件のうち3件は、その制限が入った 3.9.4 または 3.10.0 以降だけが対象です。

二次時間の処理で CPU を使い続ける6件

計算量の攻撃の6件は、入力が大きくなるにつれて、処理時間が入力の大きさの2乗以上で増える箇所を突くものです。勧告によると、どれも1つの CPU コアを長時間使い続けさせる問題で、情報の漏えいや改ざんにはつながりません。影響は可用性（サービスが使える状態）の低下に限られます。

勧告は、報告者が測った時間を記しています。CoNLL 形式のコーパスの件では、約620キロバイトの細工したコーパスで約10秒、数メガバイトで数分に達したとされます。構文木の変換の件は約1.5メガバイトの入力で約14秒、CCG の辞書の件は数メガバイトで数十秒です。Treebank 方式の単語分割の件は25万6千字で約6.6秒、音節の分割の件は6万4千字の1語で約1.8秒でした。

段階実行型の構文解析器の件は、性質が違います。細工した文法と短い入力の組み合わせで、処理が終わらなくなるとされます。勧告によると、基になる構文解析器には以前の修正で処理時間の上限が入りましたが、段階実行型はその上限を引き継いでいませんでした。勧告は、この解析器が主に画面での学習や確認に使う部品で、実際に外部に出ている範囲は基の解析器より狭いとも書いています。

計算量の6件が影響する条件：外から受け取った文章・木・文法

6件の勧告が挙げる条件は、どれも、利用者や外部から受け取ったデータを、該当する処理にそのまま渡していることです。単語分割と音節の分割の2件は、文章そのものが入口です。構文木の変換と CoNLL 形式の読み込みの2件は、外部から受け取った構文木やコーパスが入口になります。CCG の辞書の件と段階実行型の解析器の件は、外部から受け取った文法や辞書を読ませる場合に限られます。

ネットワーク越しに文章を受け付けるウェブサービスで、文章の長さに上限がないまま処理に回していれば、要求1件で CPU のコア1つを数秒から数分ふさがれます。複数の勧告は、同時に複数の要求が来れば処理を受け持つ作業者がすべて埋まり、サービス全体が止まりうると書いています。このうち単語分割と音節の分割の2件は、この点を1件あたりの時間から推定したもので、実際の運用環境では試していないと明記しています。

NLTK には、正規表現の照合に時間の上限を設ける仕組みがすでにあります。計算量の勧告の多くは、該当する処理が正規表現ではなく、Python の素の繰り返し処理で時間を使うため、その上限が効かないと書いています。pathsec も、ファイルの場所を制限する仕組みで、処理にかかる時間は制限しません。

データ領域の制限 pathsec：3.9.4 で入り、3.10 系で既定で有効に

pathsec は、NLTK がファイルを開くとき、許可したデータ領域の中だけに読み書きを限る仕組みです。勧告の記載によると、3.9.4（PyPI への登録は3月24日）で入り、3.9.4 では既定で無効でした。8月7日の勧告の1件は、この既定で無効だった設定そのものを欠陥として扱い、3.10.0 で既定が有効に改められました。

3.10 系では、外部のツールに渡すファイルのパスを検査する関数や、外部プログラムを信頼できる場所からだけ起動する仕組みも pathsec に加わりました。今回の11件のうち5件は、この新しい関所を通っていない箇所が残っていたという指摘です。ほかのツールの呼び出し口には検査が入っているのに、その箇所だけが検査を通らずにファイルを開いたり、外部プログラムを起動したりしていました。

このため、pathsec の制限を越える件は、pathsec が働く版だけを対象にしています。Bllip の構文解析器の件と YCOE コーパスの件は 3.10.0 以降、chat80 の件は 3.9.4 以降です。勧告の1件は、pathsec が入る前の版には「越えられる境界がそもそもない」と説明しています。

pathsec の制限を越える4件の中身

Bllip の構文解析器の件（中、6.8）は、構文解析器に渡すモデルのパスが、検査されないまま C 言語で書かれた拡張部品に渡っていた問題です。外部の入力でパスを決められるアプリでは、プロセスが読めるファイルなら、データ領域の外のものでも開いて読み込ませることができました。この構文解析器は別途インストールする追加の部品が必要で、勧告の条件は、その部品を入れたうえで外部の入力をモデルのパスに使っている場合です。

最大エントロピー分類器の件（中）は、学習したパラメータを保存・読み込みする関数が、指定されたフォルダを検査せずに使っていた問題です。データ領域の外のファイルを読む側と、書き込む側の両方に及びます。勧告の記載では、読み込み側の修正は 3.9.4 以降にすでに入っており、保存側の修正が 3.10.4 で入りました。

残る2件は、シンボリックリンク（別の場所のファイルを指す目印のファイル）を使うものです。chat80 の件（中、6.5）では、データ領域の中に置かれたリンクをたどって、領域の外にある SQLite のデータベースを照会できました。YCOE コーパスの件（高、7.5）では、コーパスの中のフォルダのリンクから、そのコーパスの外のファイルを読めました。ただし読めるのはデータ領域全体の内側に限られ、ファイルシステムのどこでも読めるわけではありません。

chat80 と YCOE コーパスの2件は、攻撃する側がアプリがデータ領域として信頼するフォルダに、ファイルを置けることを前提にしています。複数の利用者で共有するコーパスの置き場や、外部から取り込んだコーパスがこれに当たると勧告は書いています。

chat80 の件で読めるのは、プロセスの権限で読める SQLite 形式のファイルに限られます。それ以外の形式のファイルを指した場合は、エラーになるだけで中身は漏れません。勧告は、書き込みの照会を渡した場合に、領域外のデータベースの横に作業用のファイルができうることにも触れています。これは起こりうる副作用の指摘で、任意のファイルを書き換えられることを示したものではないと明記されています。

YCOE コーパスの件で勧告は、複数の利用者が使う環境や、コーパスを自動で取り込む環境では、共有のデータ領域にある別のコーパスと、システムの一時フォルダが読める範囲に入ると書いています。対象の版では、一時フォルダが既定でデータ領域に含まれていたためです。3.10.4 のリリースノートは、一時フォルダをデータ領域として扱わないことを明記しました。

Graphviz の起動の1件：8月の修正が残した経路

外部プログラムの起動の件（GHSA-7mxv-7h3q-9324、高、7.8）は、依存構造の図を画像にする関数 dot2img が、作図ソフト Graphviz のプログラムを起動するときの問題です。この関数は、プログラムの場所を名前で探したうえで、pathsec の「信頼済み実行」の仕組みを通さずに起動していました。この仕組みは、プログラムとそのフォルダが他のアカウントから書き換えられないかを確かめ、子のプロセスに渡す環境変数を整理するものです。

勧告が挙げる条件は、UNIX 系（POSIX）の端末で、攻撃する側が同じ端末の権限の低い利用者として、被害者の検索パス上にある他人も書き込めるフォルダにファイルを置けることです。勧告は、パッケージ管理の Homebrew のフォルダが、同じグループの利用者から書き込める設定になっている例を挙げています。この状態で被害者が図を描くと、置かれた偽のプログラムが被害者の権限で動きます。

勧告によると、Jupyter のノートブックでは、依存構造の結果を表示するだけで図の作成が自動で呼ばれます。NLTK への入力を操る必要はないとも書かれています。CVSS の評価は、攻撃する側が端末にログインしていることを前提とする「ローカル」です。ネットワークの向こうから直接突ける欠陥ではありません。

8月11日の勧告 GHSA-6hwm-xvph-95vm との関係

Graphviz の起動をめぐっては、8月11日にも勧告 GHSA-6hwm-xvph-95vm（CVE-2026-78680、高）が公開されていました。この勧告は、同じ dot2img を含む2か所が作図プログラムを素の名前で起動しており、Windows では作業中のフォルダにある同じ名前のファイルが動いてしまうと指摘しました。対象は 3.10.2 以前、修正版は 3.10.3 です。

8月の勧告は、修正の範囲も書いていました。作業中のフォルダや相対的な場所に置かれたファイルは拒むようにした一方、検索パスに入っている他人も書き込める絶対的な場所のフォルダについては、対象の外と判断しています。理由は、検索パスのフォルダに書き込める攻撃者は、NLTK と関係なくそのアカウントを乗っ取れるからというものでした。

10月26日の勧告は、ちょうどこの対象外とされた経路を扱っています。勧告は、8月の修正で信頼済み実行の仕組みに乗ったのは隣の別の呼び出し口だけで、dot2img は修正の一部しか受けていなかったと書きました。3.10.4 のリリースノートは、起動するプログラムとそのフォルダ、渡すモデルやデータのファイルが他のアカウントから書き込めないことを起動の条件にしたと明記しています。

勧告の本文には9月28日時点の「未修正」の記録が残る

11件の勧告の多くは、末尾に「修正の状況（2026-09-28）」という節を持っています。9月28日時点の記録で、どの修正がどの変更の提案に入り、開発用の枝に取り込まれたかどうかが書かれています。その時点では、計算量の攻撃の大半や Graphviz の件、シンボリックリンクの2件が「作業中」とされ、すべてに「リリースはまだない」とあります。

報告者が書いた本文の「影響を受ける版」の節にも、「修正の状況：未修正」「最新の確認版：3.10.3」という記載が残っています。一方で、各勧告の「修正された版」の欄は 3.10.4 です。3.10.4 のリリースノートには、9月28日時点で作業中とされた変更の多くが、勧告の番号付きで並んでいます。CoNLL 形式の読み込み、CCG の辞書、構文木の変換、chat80 の照会、Bllip の構文解析器の件などです。

勧告の本文には、報告を受けて非公開で修正を進めていた時期の記録が、そのまま残っています。勧告を読むときは、本文の「未修正」ではなく、「修正された版」の欄が現在の状態を示しています。勧告の中には検証用の例や攻撃の流れの説明も含まれていますが、その中身は扱いません。

報告者：11件のうち10件は同じ研究者

11件のうち10件は、GitHub の2つのアカウント（manus-pi と manus-use）の名前で報告者として記録されています。本文の署名はいずれも「zx」で、9月29日の勧告では「zx（Jace）」と名乗っています。3.10.4 のリリースノートの謝辞にも Jace の名前があります。9月29日に公開された外部の分類器 Weka の件も、同じ報告者によるものです。

残る1件、最大エントロピー分類器の件は、別の報告者（F0DH1L）によるものです。報告者は勧告の中で、この欠陥はもともと脆弱性の報奨金の仕組み Huntr を通じて報告し、受理されて750ドルの報奨金を受け取ったと書いています。Huntr がオープンソースの報奨金の受付を終えたため、GitHub で報告し直したという経緯です。

報告者は、Huntr の時点で CVE の番号が予約されたと書き、その番号を引き継ぐよう求めています。ただし勧告の CVE の欄は空のままで、番号が実際に割り当てられるかは示されていません。ほかの10件にも CVE の番号は付いておらず、勧告の文面からは、番号を申請しているかどうかも分かりません。

2026年の勧告は48件：3月・6月・8月・9月・10月

NLTK のリポジトリ勧告は、2021年12月の1件を除くと、すべて2026年に公開されています。10月26日までの2026年分は48件で、深刻度の内訳は緊急3件、高29件、中15件、低1件です。3月18日に4件、6月11日に5件が出た後、8月7日・11日・12日の3日間で27件が公開されました。9月29日に1件、そして10月26日の11件が続きます。

8月の27件には、緊急の3件が含まれていました。モデルの読み込みに使う直列化の形式（pickle）から任意のコードが動く2件と、Java を使う Stanford の解析器の呼び出しで起動の引数を差し込める1件で、修正は 3.10.0 と 3.10.3 です。6月と8月の勧告には、データ領域の外のファイルを読める問題、シンボリックリンクで制限を越える問題、計算量の攻撃が多く含まれています。

今回の11件は、同じ種類の問題の続きにあたります。8月の勧告で直された箇所の隣の呼び出し口や、修正の対象から外れていた箇所が、改めて報告されました。3.10.4 のリリースノートは冒頭で、ファイルのパス・展開・取得・外部プログラムの起動のすべてを1つの制限の仕組みに通すようにしたと説明しています。

影響を受ける版と使い方

対象の版は、11件とも 3.10.3 以前です。PyPI の記録では、3.10.3 は8月12日、3.10.4 は10月21日に登録されました。3.10.4 を入れる前の環境は、すべて11件のいずれかの対象の版に入ります。3.10.4 が動く Python は 3.10 以降で、これは 3.9.4 以降の版と同じです。

どの件が影響するかは、NLTK の使い方で変わります。勧告の条件を使い方でまとめると、外部から受け取った文章を単語や音節に分けるサービスは、計算量の2件の条件に当たります。外部から受け取った構文木・コーパス・文法を読み込む処理は、計算量の残る4件の条件です。外部の入力でモデルやパラメータのパスを決める処理は、Bllip の構文解析器と最大エントロピー分類器の件に当たります。

データ領域を複数の利用者で共有している環境や、外部のコーパスを取り込んでいる環境は、シンボリックリンクの2件の条件に当たります。複数の利用者が同じ UNIX 系の端末を使い、Graphviz で図を描く環境は、外部プログラムの起動の件の条件です。一方で、決まった文書だけを社内で処理する使い方では、勧告の挙げる条件に当たる件は限られます。AIの前処理で NLTK を使う場合も、外部から集めた文章をどの処理に渡しているかで対象が変わります。

現時点で分かっていないこと

10月27日時点で、勧告とリリースノートからは次の点が分かりません。まず、実際に悪用されたかどうかです。11件の勧告は、悪用の有無に触れていません。計算量の攻撃が同時の要求でサービスを止めうるという記述も、報告者の推定とされています。

次に、CVE の番号です。11件とも CVE の欄は空で、最大エントロピー分類器の件で報告者が引き継ぎを求めた番号も反映されていません。対象の版の下限も、半数以上の勧告で調べられておらず、どの版から問題があったかは分かりません。

さらに、NLTK の利用者のうち、外部の入力を該当する処理に渡している環境がどれだけあるかも分かっていません。勧告の本文やリリースノートには、まだ公開されていない別の勧告の番号もいくつか出てきます。それらが今後公開されるか、3.10.4 で直っているかは示されていません。主要なメディアが今回の11件を報じた記事も、同じ時点では確認できていません。

開発チームがリリースノートで示したこと

11件の勧告が示す修正版は 3.10.4 で、開発チームは更新を修正の手段としています。11件の中で、3.10.3 以前の版に向けた個別の修正は示されていません。3.10.4 のリリースノートには、「気づくかもしれないセキュリティの変更」という見出しで、利用者の動作が変わりうる点が並んでいます。

リリースノートによると、制限に触れた処理はすべて「Security Violation」で始まるメッセージで止まり、どの検査に引っかかったかが分かるようになりました。モデルの保存と読み込みは、データ領域の中の場所だけを受け付けます。システムの一時フォルダはデータ領域として扱わず、私的なデータは私的なフォルダに置いてデータ領域に加えるよう案内しています。

このほか、他のアカウントから書き込めるデータ領域は警告を出して読み飛ばすこと、外部のツールは信頼できる絶対的な場所からだけ起動することも、リリースノートに記されています。配布物から内部の試験用の部品を外したため、インストールの大きさが約半分になったとも書かれています。詳しい変更の一覧は、リリースノートと各勧告にあります。

• 10月27日時点で、nltk/nltk のリポジトリ勧告49件の一覧と、10月26日公開の11件の本文、3.10.4 のリリースノート、PyPI の登録日時を確かめた内容です。CVE の採番、勧告の追加や更新、悪用の報告があれば、内容が変わることがあります。

まとめ

10月26日、NLTK の開発チームはセキュリティ勧告11件を公開しました。高6件・中5件で、計算量の攻撃が6件、データ領域の制限 pathsec を越える問題が4件、Graphviz のプログラムの起動の問題が1件です。11件とも 3.10.3 以前が対象で、10月21日に配布された 3.10.4 で直っています。

11件の多くは、8月までの勧告で直された箇所の隣にある、検査を通っていない呼び出し口でした。影響は、外部から受け取った文章や構文木、文法、コーパス、モデルのパスを NLTK に渡す使い方で大きくなります。悪用の有無と CVE の番号、半数以上の勧告での対象の版の下限は、10月27日時点で分かっていません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。