情報取得日: 2026/07/20／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-63767 |
|---|---|
| 製品 | kvcache-ai / ktransformers 0.6.3 以前 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 Deserialization of Untrusted Data |
| 登録／公開日 | 2026/07/20 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-63767 |
ローカルLLM推論フレームワーク ktransformers の 0.6.3 以前には、未認証で任意コマンドを実行できる pickle デシリアライズの脆弱性がある。SchedulerServer が全インターフェース（0.0.0.0）にバインドする ZMQ ROUTER ソケットが、受信したデータを検証せずに pickle で復元するため、攻撃者が __reduce__ を悪用した細工 pickle を送りつけると、サーバプロセス権限で任意のシェルコマンドが走る。認証やユーザー操作は不要（AV:N/PR:N/UI:N）で、ソケットが外部やLAN・同居コンテナに露出していれば即座に完全侵害へ至る。修正はコミット def0f93 で行われている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2/ECS/EKS 上のイメージを def0f93 以降へ更新する。セキュリティグループで ZMQ ポートを推論クラスタ内部だけに制限し、パブリックサブネットへ出さない。タスク/ノードのIAM権限を最小化し、侵害時の横展開を抑える。
AWS側に修正パッチは無い（アプリ更新が対処）。ソケットの到達性制限が実効的。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE/GKE のイメージを更新する。VPCファイアウォールで ZMQ ポートを内部限定にし、GKE は Workload Identity で最小権限のサービスアカウントを割り当てる。
GCP側に修正パッチは無い。ネットワークポリシーでの隔離が要点。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
VM/AKS のイメージを更新する。NSG で ZMQ ポートを内部限定にし、AKS はネットワークポリシーとポッド分離で露出を断つ。
Azure側に修正パッチは無い。到達性の遮断が最優先。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ktransformers を def0f93 以降へ更新する（`git pull` / パッケージ更新）。更新できない場合は SchedulerServer のバインドアドレスを 127.0.0.1 に固定し、ホストファイアウォール（nftables/ufw）で ZMQ ポートを閉じる。専用の非特権ユーザーで起動し systemd で `NoNewPrivileges=yes` を設定する。
起点は未認証ソケットへの到達。バインド制限とFWでの遮断が最も確実。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
ktransformers を修正コミット def0f93 を含むバージョンへ更新する。更新前後を問わず、SchedulerServer の ZMQ ソケットを 0.0.0.0 で公開せず、localhost もしくは信頼できる内部セグメントだけに限定する（ネットワーク到達性を断つのが最も確実な緩和）。ML推論ノードは専用ホスト・専用コンテナで隔離し、実行ユーザーを非特権にする。
Critical（CVSS 9.8）に分類されるkvcache-ai ktransformers 0.6.3 以前の脆弱性です。ローカルLLM推論フレームワーク ktransformers の 0.6.3 以前には、未認証で任意コマンドを実行できる pickle デシリアライズの脆弱性がある。SchedulerServer が全インターフェース（0.0.0.0）にバインドする ZMQ ROUTER ソケットが、受信したデータを検証せずに pickle で復元するため、攻撃者が __reduce__ を悪用した細工 pickle を送りつけると、サーバプロセス権限で任意のシェルコマンドが走る。認証やユーザー操作は不要（AV:N/PR:N/UI:N）で、ソケットが外部やLAN・同居コンテナに露出していれば即座に完全侵害へ至る。修正はコミット def0f93 で行われている。
ktransformers を修正コミット def0f93 を含むバージョンへ更新する。更新前後を問わず、SchedulerServer の ZMQ ソケットを 0.0.0.0 で公開せず、localhost もしくは信頼できる内部セグメントだけに限定する（ネットワーク到達性を断つのが最も確実な緩和）。ML推論ノードは専用ホスト・専用コンテナで隔離し、実行ユーザーを非特権にする。
kvcache-ai ktransformers 0.6.3 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-63767）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。