LMDeploy の /update_weights で未認証RCE（CVSS 9.8・修正版未公開）

Critical（CVSS 9.8）に分類されるInternLM LMDeploy 0.9.0〜0.18.0の脆弱性です。**LLM の推論・配信ツールキット LMDeploy の 0.9.0〜0.18.0 で、API サーバーの /update_weights エンドポイントが送られてきた pickle データを検証せずに復元するため、未認証のリモート攻撃者が OS コマンドを実行できる。** NVD の記述（CNA は VulnCheck）によれば、serialized_named_tensors に base64 で埋め込んだ細工済みの pickle を ForkingPickler.loads がそのまま読み込み、api_server プロセスの権限でコマンドが動く。 **評価値。** VulnCheck の CVSS 3.1 は **9.8 Critical**（ネットワーク経由・認証不要）、CVSS 4.0 は 9.3。NVD の分析状況は Deferred（NVD 自身の評価は付かない）。 **修正状況。** 2026-11-01 時点で修正版は出ていない。LMDeploy の最新リリースは 0.18.0 で、HTTP の /update_weights で pickle を既定で拒否する修正 PR（#4964、issue #4698 の修正）はまだマージされていない。CISA KEV には未収載。

**修正版が出るまでは、API サーバーを信頼できないネットワークに出さず、/update_weights への到達を止める。** 2026-11-01 時点で修正版は無い。 - LMDeploy の api_server をインターネットや共用ネットワークへ直接公開しない。前段のリバースプロキシや WAF で /update_weights へのリクエストを遮断し、到達できる送信元をネットワーク側で絞る - 重みの更新機能を使っていない環境は、この経路を外から叩けないことを確認する - 修正 PR #4964 がマージされてリリースに入ったら、その版へ上げる（PR の内容では、HTTP の /update_weights は既定で pickle を拒否し、safetensors 形式か構造化した辞書だけを受け付けるようになる。pickle を送るクライアントは HTTP 400 になる） **完了条件**は、（1）api_server の /update_weights に信頼できない送信元から届かないことを確認した、（2）修正を含むリリースが出たら更新した、の2点である。

InternLM LMDeploy 0.9.0〜0.18.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-119706）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。