情報取得日: 2026/08/17／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-62593 |
|---|---|
| 製品 | Ray-Project (Anyscale) / Ray 2.52.0 未満 |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-94 コード生成の不適切な制御（コードインジェクション） / CWE-352 クロスサイトリクエストフォージェリ |
| 登録／公開日 | 2026/08/17 |
| KEV 期限 | 2026/08/20 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-62593 |
Ray は分散処理・AI ワークロード向けの計算エンジンで、この欠陥は 2.52.0 より前のバージョンに存在する。攻撃の入口が通常のサーバ侵害と異なるのが特徴で、狙われるのは Ray をローカルの開発ツールとして動かしている開発者の端末である。Ray はブラウザ由来の攻撃に対する防御として User-Agent ヘッダが文字列 Mozilla で始まるかどうかを見ていたが、fetch の仕様では User-Agent を書き換えられるため、この防御は成立しない。ここに DNS リバインディング攻撃を組み合わせると、開発者が悪意あるサイトを開いた場合や、不正広告（マルバタイジング）を表示させられた場合に、ローカルで動いている Ray に対して外部から任意コードを実行できる。すなわち被害者側の操作は「Web ページを見ただけ」で成立する。CVSS は評価元で割れており、NVD（Primary）は 8.8 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）、CNA の GitHub Security Advisories は CVSS 4.0 で 9.4 Critical（AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）としている。差の中心は利用者の関与（UI:R / UI:P）をどう重み付けするかで、いずれも「利用者の能動的な操作は要らず、ページを開くだけ」という同じ攻撃像を指している。NVD の vulnStatus は Analyzed。CISA KEV には 2026-08-17 に収載され、是正期限は 2026-08-20 と3日しかない。ランサムウェア利用は Unknown（不明）。修正は 2.52.0 で入っており、コミットとアドバイザリ（GHSA-q279-jhrf-cc6v）が公開されている。なお参考文献には RondoDox ボットネットの基盤分析レポートが含まれる。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（AWS のマネージドサービスに修正対象は無い。Ray 自体の更新が対応となる）
EC2 や SageMaker 上に Ray クラスタを構築している場合は、そのクラスタのイメージに含まれる Ray を 2.52.0 以降へ更新する。ただし本 CVE の主たる攻撃対象は開発者端末であり、クラウド側のクラスタは副次的な確認対象である。
参照リンク
|
| GCP | 対象外 |
対象外（GCP のマネージドサービスに修正対象は無い）
GKE や Vertex AI 上で Ray を動かしている場合は、コンテナイメージ内の Ray のバージョンを確認して更新する。
参照リンク
|
| Azure | 対象外 |
対象外（Azure のマネージドサービスに修正対象は無い）
AKS や Azure ML 上のイメージに含まれる Ray を確認して更新する。
参照リンク
|
| Linux | 対象外 |
対象外（Ray はディストリのパッケージではなく PyPI 等から導入する Python パッケージのため、ディストリのセキュリティ更新では上がらない）
pip install --upgrade 'ray>=2.52.0' で更新する。仮想環境ごとに導入されている点に注意し、開発者ごとの venv / conda 環境を横断して確認する。
参照リンク
|
まず「自社に Ray があるか」ではなく「開発者の端末で Ray が動いていないか」を確認する。この欠陥の被害者は本番クラスタではなく、ローカルで ray start や Ray のダッシュボードを立ち上げたまま Web を閲覧している開発者だからである。資産管理台帳だけを見て『本番に Ray は無いので対象外』と結論すると外す。確認手順は、開発端末で pip show ray / conda list ray を取り、バージョンが 2.52.0 未満かを見ること、そして Ray の待ち受けポート（既定ではダッシュボードの 8265 など）が localhost に開いていないかを見ることである。DNS リバインディングを使う攻撃なので、localhost にしか開いていない＝安全ではない点に注意する。ブラウザが名前解決を差し替えてローカルの待ち受けに到達させるのがこの攻撃の要点であり、ファイアウォールでは止まらない。対応は 2.52.0 以降への更新である。恒久対策はこれ一本で、User-Agent に依存した旧来の防御には戻せない。すぐに更新できない場合の緩和は、作業していないときに Ray のプロセスを落とすこと、開発用ブラウザと日常のブラウジングを分けること、そして Ray を使う端末で広告表示を抑えることである。いずれも攻撃の前提である「悪意あるページを踏む」を減らす方向の緩和であり、欠陥自体は残る点を理解して運用する。KEV に収載されている、つまり実際に悪用が確認されているため、更新前の期間に開発者が任意の Web を閲覧していた端末は侵害を前提に点検する。見るのは、Ray のワーカープロセスから起動された想定外の子プロセス、開発端末のシェル履歴に無いネットワーク接続、そして端末に置かれたクラウドの資格情報（~/.aws/credentials、gcloud の ADC、kubeconfig）へのアクセス痕跡である。開発端末は本番への鍵を持っていることが多く、端末側の RCE がそのまま本番の資格情報の流出になる。完了条件は、（1）全開発端末の Ray が 2.52.0 以降であること、（2）更新前に露出していた端末の点検が済んでいること、（3）その端末に置かれていたクラウド資格情報を再発行済みであることの3点である。KEV 是正期限は 2026-08-20 で、猶予はほとんど無い。
High（CVSS 8.8）に分類されるRay-Project (Anyscale) Ray 2.52.0 未満の脆弱性です。Ray は分散処理・AI ワークロード向けの計算エンジンで、この欠陥は 2.52.0 より前のバージョンに存在する。攻撃の入口が通常のサーバ侵害と異なるのが特徴で、狙われるのは Ray をローカルの開発ツールとして動かしている開発者の端末である。Ray はブラウザ由来の攻撃に対する防御として User-Agent ヘッダが文字列 Mozilla で始まるかどうかを見ていたが、fetch の仕様では User-Agent を書き換えられるため、この防御は成立しない。ここに DNS リバインディング攻撃を組み合わせると、開発者が悪意あるサイトを開いた場合や、不正広告（マルバタイジング）を表示させられた場合に、ローカルで動いている Ray に対して外部から任意コードを実行できる。すなわち被害者側の操作は「Web ページを見ただけ」で成立する。CVSS は評価元で割れており、NVD（Primary）は 8.8 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）、CNA の GitHub Security Advisories は CVSS 4.0 で 9.4 Critical（AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）としている。差の中心は利用者の関与（UI:R / UI:P）をどう重み付けするかで、いずれも「利用者の能動的な操作は要らず、ページを開くだけ」という同じ攻撃像を指している。NVD の vulnStatus は Analyzed。CISA KEV には 2026-08-17 に収載され、是正期限は 2026-08-20 と3日しかない。ランサムウェア利用は Unknown（不明）。修正は 2.52.0 で入っており、コミットとアドバイザリ（GHSA-q279-jhrf-cc6v）が公開されている。なお参考文献には RondoDox ボットネットの基盤分析レポートが含まれる。
まず「自社に Ray があるか」ではなく「開発者の端末で Ray が動いていないか」を確認する。この欠陥の被害者は本番クラスタではなく、ローカルで ray start や Ray のダッシュボードを立ち上げたまま Web を閲覧している開発者だからである。資産管理台帳だけを見て『本番に Ray は無いので対象外』と結論すると外す。確認手順は、開発端末で pip show ray / conda list ray を取り、バージョンが 2.52.0 未満かを見ること、そして Ray の待ち受けポート（既定ではダッシュボードの 8265 など）が localhost に開いていないかを見ることである。DNS リバインディングを使う攻撃なので、localhost にしか開いていない＝安全ではない点に注意する。ブラウザが名前解決を差し替えてローカルの待ち受けに到達させるのがこの攻撃の要点であり、ファイアウォールでは止まらない。対応は 2.52.0 以降への更新である。恒久対策はこれ一本で、User-Agent に依存した旧来の防御には戻せない。すぐに更新できない場合の緩和は、作業していないときに Ray のプロセスを落とすこと、開発用ブラウザと日常のブラウジングを分けること、そして Ray を使う端末で広告表示を抑えることである。いずれも攻撃の前提である「悪意あるページを踏む」を減らす方向の緩和であり、欠陥自体は残る点を理解して運用する。KEV に収載されている、つまり実際に悪用が確認されているため、更新前の期間に開発者が任意の Web を閲覧していた端末は侵害を前提に点検する。見るのは、Ray のワーカープロセスから起動された想定外の子プロセス、開発端末のシェル履歴に無いネットワーク接続、そして端末に置かれたクラウドの資格情報（~/.aws/credentials、gcloud の ADC、kubeconfig）へのアクセス痕跡である。開発端末は本番への鍵を持っていることが多く、端末側の RCE がそのまま本番の資格情報の流出になる。完了条件は、（1）全開発端末の Ray が 2.52.0 以降であること、（2）更新前に露出していた端末の点検が済んでいること、（3）その端末に置かれていたクラウド資格情報を再発行済みであることの3点である。KEV 是正期限は 2026-08-20 で、猶予はほとんど無い。
Ray-Project (Anyscale) Ray 2.52.0 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-62593）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。