情報取得日: 2026/07/16／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-44181 |
|---|---|
| 製品 | Project Jupyter / Jupyter Enterprise Gateway |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-1336 テンプレートエンジンにおける特殊要素の不適切な無害化（SSTI） |
| 登録／公開日 | 2026/07/16 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-44181 |
Jupyter Enterprise Gateway は、Apache Spark・Kubernetes・Docker Swarm といった分散クラスタ上に Jupyter Notebook のカーネルをリモート起動するためのサーバである。NVD の記述によれば、2.0.0rc2 以上 3.3.0 未満のバージョンでは、Kubernetes マニフェストを描画するときに使う KERNEL_ で始まる環境変数がサーバ側テンプレートインジェクション（SSTI）に対して脆弱である。マニフェストは Jinja2 テンプレートで描画されるため、環境変数に Jinja2 のテンプレート式を含めると、Enterprise Gateway のサービス上で Python コードと OS コマンドが実行される。実行されたコードは Kubernetes のサービスアカウントトークンを利用・窃取でき、そこから Kubernetes の Secret を盗んだうえで、特権 Pod や hostPath ボリュームをマウントした Pod をスケジュールしてクラスタ全体を掌握できる。CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。S:C（スコープ変更）は、Gateway のプロセスを越えて Kubernetes クラスタ側へ影響が及ぶことを表している。修正は 3.3.0 で行われた。2026年8月14日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
Jupyter Enterprise Gateway を 3.3.0 以上へ更新してイメージを再デプロイする
EKS 上で動かしている場合、Gateway のサービスアカウント権限も併せて見直す（特権 Pod を作れる権限が付いていないか）。AWS 側からの修正提供はない。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Jupyter Enterprise Gateway を 3.3.0 以上へ更新してイメージを再デプロイする
GKE 上で動かしている場合、Workload Identity の権限範囲も確認する。GCP 固有の修正提供はない。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Jupyter Enterprise Gateway を 3.3.0 以上へ更新してイメージを再デプロイする
AKS 上で動かしている場合、Pod Security Admission で privileged を禁止しているかを併せて確認する。Azure 固有の修正提供はない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
pip で jupyter_enterprise_gateway を 3.3.0 以上へ上げる
ディストリのパッケージ管理の対象外。依存を固定している場合はロックファイルも更新する。
参照リンク
|
まず自組織で Jupyter Enterprise Gateway を動かしているかを確認する。Notebook や JupyterHub を使っていても Enterprise Gateway は別コンポーネントなので、動いていなければ該当しない。動いている場合は 3.3.0 未満かを見る。2.0.0rc2 以上 3.3.0 未満がすべて対象なので、実質的に 3.3.0 未満は全部と考えてよい。対応は 3.3.0 以上への更新である。すぐに更新できない場合の緩和は、KERNEL_ で始まる環境変数を外部から与えられる経路を塞ぐことである。カーネル起動要求を受け付けるエンドポイントの前段で認証を必須にし、環境変数の受け渡しを許可リスト方式に変える。ただしこれはテンプレート描画そのものを直していないので、恒久対応にはしない。侵害の確認は、Gateway のログでカーネル起動時に渡された環境変数に {{ や {% が含まれていないかを検索する。あわせて、Gateway のサービスアカウントで作成された Pod のうち、privileged: true や hostPath ボリュームを持つものが無いかを kubectl で確認する。同じ更新（3.3.0）で CVE-2026-44182（YAML インジェクション）も修正されているので、両方まとめて対応する。
Critical（CVSS 10.0）に分類されるProject Jupyter Jupyter Enterprise Gatewayの脆弱性です。Jupyter Enterprise Gateway は、Apache Spark・Kubernetes・Docker Swarm といった分散クラスタ上に Jupyter Notebook のカーネルをリモート起動するためのサーバである。NVD の記述によれば、2.0.0rc2 以上 3.3.0 未満のバージョンでは、Kubernetes マニフェストを描画するときに使う KERNEL_ で始まる環境変数がサーバ側テンプレートインジェクション（SSTI）に対して脆弱である。マニフェストは Jinja2 テンプレートで描画されるため、環境変数に Jinja2 のテンプレート式を含めると、Enterprise Gateway のサービス上で Python コードと OS コマンドが実行される。実行されたコードは Kubernetes のサービスアカウントトークンを利用・窃取でき、そこから Kubernetes の Secret を盗んだうえで、特権 Pod や hostPath ボリュームをマウントした Pod をスケジュールしてクラスタ全体を掌握できる。CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。S:C（スコープ変更）は、Gateway のプロセスを越えて Kubernetes クラスタ側へ影響が及ぶことを表している。修正は 3.3.0 で行われた。2026年8月14日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed。
まず自組織で Jupyter Enterprise Gateway を動かしているかを確認する。Notebook や JupyterHub を使っていても Enterprise Gateway は別コンポーネントなので、動いていなければ該当しない。動いている場合は 3.3.0 未満かを見る。2.0.0rc2 以上 3.3.0 未満がすべて対象なので、実質的に 3.3.0 未満は全部と考えてよい。対応は 3.3.0 以上への更新である。すぐに更新できない場合の緩和は、KERNEL_ で始まる環境変数を外部から与えられる経路を塞ぐことである。カーネル起動要求を受け付けるエンドポイントの前段で認証を必須にし、環境変数の受け渡しを許可リスト方式に変える。ただしこれはテンプレート描画そのものを直していないので、恒久対応にはしない。侵害の確認は、Gateway のログでカーネル起動時に渡された環境変数に {{ や {% が含まれていないかを検索する。あわせて、Gateway のサービスアカウントで作成された Pod のうち、privileged: true や hostPath ボリュームを持つものが無いかを kubectl で確認する。同じ更新（3.3.0）で CVE-2026-44182（YAML インジェクション）も修正されているので、両方まとめて対応する。
Project Jupyter Jupyter Enterprise Gateway を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-44181）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。