vLLM の画像読み込みで EPS が通り Ghostscript 経由のRCE（CVSS 9.8・0.32.0 で修正）

Critical（CVSS 9.8）に分類されるvLLM vLLM 0.32.0 未満の脆弱性です。**LLM の推論・配信エンジン vLLM の 0.32.0 未満で、画像入力の読み込み（ImageMediaIO）が受け取ったバイト列を形式の制限なしに Pillow へ渡すため、画像として送った EPS ファイルがホスト側の Ghostscript で処理される。** MIME の表示（image/png など）は実際に選ばれる形式を縛らない。 **影響は環境の依存関係で決まる。** ホストやコンテナに CVE-2024-29510 の影響を受ける Ghostscript（10.03.1 未満）があると、画像を受け付けるエンドポイントに届く攻撃者が vLLM プロセスの権限でコマンドを実行できる。Pillow 12.0.0〜12.2.0 の環境では CVE-2026-59203 によりメディア読み込みのワーカーが止まる（コード実行ではなくサービス停止）。どちらの依存も無い環境は該当する影響を受けない。vLLM は Ghostscript を依存として宣言していないので、入っているかはイメージ次第である。 **評価値は2つある。** NVD の CVSS 3.1 は **9.8 Critical**。vLLM の GitHub アドバイザリ（GHSA-h3rc-j82p-2c3h）の評価は **8.1 High**（AC:H）。アドバイザリはコード実行を HTTP 経由ではなく読み込み処理の単位で再現したとしている。NVD の分析状況は Analyzed。2026-11-01 時点で CISA KEV には未収載。

**vLLM を 0.32.0 以降へ上げる。** 修正は PR #60022 で、0.32.0 に入っている。あわせて依存側も確認する。 - **Ghostscript**: コンテナイメージやホストに入っていないかを確認する。不要なら外し、必要ならディストリの修正版（CVE-2024-29510 修正済み、上流は 10.03.1 以降）にする - **Pillow**: 12.3.0 以降にする（0.30.0 の requirements は Pillow を固定していないので、既存環境に影響版が残っていることがある） - **更新までの間**: 画像を受け付けるエンドポイントに届く相手を API キーとネットワークの制御で絞る **完了条件**は、（1）vLLM が 0.32.0 以降、（2）Ghostscript が無いか修正版、（3）Pillow が 12.3.0 以降、の3点を実行中のイメージで確認したこと。

vLLM vLLM 0.32.0 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-115915）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。