nexsight cyber intelligence / signal online wire desk · issue 631
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

AIセキュリティ / AI SECURITY / DESERIALIZATION

AI画像生成ツール「ComfyUI」に未認証で任意コード実行が可能な脆弱性（CVE-2026-68771、CVSS 9.8）— 修正はv0.26.0以降、それ以前のバージョンは更新を

AI画像生成ツール「ComfyUI」の学習用データセット読み込み機能に、信頼できないデータを安全に処理できない脆弱性（CVE-2026-68771、CWE-502）が公表されている。認証を必要としない画像アップロード用エンドポイントに細工したpickleファイルを置き、ワークフローを実行させると、ComfyUIのプロセス権限で任意のPythonコードが動く。CVSS v3.1の基本値は9.8で「クリティカル」。修正コミットは2026年6月18日に取り込まれ、v0.26.0（6月23日公開）以降に反映されている。

AIセキュリティ NEXSIGHT CYBER WIRE 編集部 4–5 min read
攻撃手法
ソフトウェア

要点

  • AI画像生成ツールComfyUIの「LoadTrainingDataset」ノードに、信頼できないデータを安全に処理できない脆弱性がある。識別子はCVE-2026-68771、分類はCWE-502（信頼できないデータのデシリアライズ）で、CVSS v3.1の基本値は9.8（クリティカル）、CVSS v4.0は9.3である（CVEレコードおよびVulnCheckのアドバイザリ）。
  • 攻撃の起点は、認証を必要としない画像アップロード用エンドポイント（POST /upload/image）である。攻撃者は細工したshard_*.pklファイルをアップロードしたうえで、ワークフロー実行用のエンドポイント（POST /prompt）でそのファイルを参照させる。するとtorch.loadが攻撃者のpickleデータを読み込み、ComfyUIプロセスの権限で任意のPythonコードが実行される。
  • 修正コミットは2026年6月18日に取り込まれ、v0.26.0（2026年6月23日公開）以降に反映されている。GitHubで公開されているソースを確認すると、v0.25.1では該当箇所がtorch.load(f)（安全策の指定なし）、**v0.26.0ではtorch.load(f, weights_only=True)**となっている。CVEレコードとVulnCheckは影響範囲を「0.23.0以前」としているが、修正はその後のバージョンで入っている点に注意が必要だ。
  • CVEレコードにもVulnCheckのアドバイザリにも、野外で悪用されたという記載はない。米CISAの「既知の悪用脆弱性（KEV）」カタログ（2026年9月11日版）にも登録されていない。ComfyUIを運用している場合は、稼働中のバージョンを確認し、修正が反映されたバージョンへ更新するかどうかを判断したい。

脆弱性の内容 — 学習用データセットの読み込み処理

CVEレコードとVulnCheckのアドバイザリの記載は次のとおりである。

CVE-2026-68771は、ComfyUIの学習用データセットを読み込む「LoadTrainingDataset」ノードの問題である。このノードは、データセットのシャードファイルを読み込む際に**torch.loadを安全策なしで呼び出して**いた。そのため、ファイルの中身を攻撃者が用意したpickleデータに置き換えておくと、読み込み時にそのデータが展開され、任意のPythonコードが実行される。

CVEレコードは、攻撃者が**__reduce__を利用したペイロードを含むpickle**を読み込ませることで、ComfyUIのプロセスを動かしている利用者の権限で任意のコマンドを実行できると説明している。

VulnCheckは「ComfyUI 0.23.0のLoadTrainingDatasetノードにおける安全でないデシリアライズにより、未認証の遠隔の攻撃者が任意のPythonコードを実行できる」として、CVEを採番（CNAとして登録）した。CVEレコードの公開日は2026年7月31日である。

攻撃の流れ — 未認証の2つのリクエスト

CVEレコードとVulnCheckのアドバイザリが示す攻撃の流れは次のとおりである。

  1. 攻撃者は、認証を必要としないPOST /upload/imageエンドポイントを使い、細工した**shard_*.pklファイル**をサーバーの出力ディレクトリへアップロードする。
  2. 続いて**POST /prompt**へ、アップロードしたファイルを参照するワークフローグラフを送り、実行させる。
  3. その結果、torch.loadが攻撃者のpickleデータを読み込み、ComfyUIプロセスの権限で任意のコードが実行される。

利用者側の操作は不要で、攻撃の難易度も低いと評価されている（CVSS v4.0のベクトルは「AV:N/AC:L/AT:N/PR:N/UI:N」で、ネットワーク経由・低複雑度・権限不要・操作不要を示す）。

影響を受けるバージョンと修正

項目 一次情報の記載
脆弱性識別子 CVE-2026-68771（CWE-502）
影響バージョン VulnCheck・CVEレコード: 0.23.0以前
修正 GitHubのコミット94ee49b（PR #14543、2026年6月18日に取り込み）
修正が反映されたリリース v0.26.0（2026年6月23日公開）。v0.25.1（6月18日公開）の時点では未反映
最新版 v0.35.0（2026年9月9日公開）

修正コミットの内容は、学習用データセットのシャードを読み込むtorch.loadにweights_only=Trueを指定するというものである。PRの説明では、このtorch.loadはリポジトリ内で唯一weights_only=Trueが付いていなかった呼び出しであり、PyTorch 2.6より前のバージョン（weights_onlyの既定がFalse）では、細工した.pklファイルが読み込み時にコードを実行し得るとされている。あわせてPRは、PyTorch 2.6以降はweights_onlyの既定値がTrueであるため現在の環境は保護されるとしたうえで、今回の変更を古いバージョンにも安全な動作を明示的に適用するものと位置づけている。

GitHubで公開されているタグ別のソースを当編集部が確認したところ、v0.25.1のcomfy_extras/nodes_dataset.pyはtorch.load(f)、**v0.26.0はtorch.load(f, weights_only=True)**であった。CVEレコードとVulnCheckが示す影響範囲（0.23.0以前）よりも後のv0.25.1まで安全策が入っていないため、更新の要否は「0.23.0より後だから安全」と判断せず、実際のバージョンで確認することが望ましい。

なお、CVEレコードにもVulnCheckのアドバイザリにも、野外での悪用や実証コードの公開に関する記載はない。米CISAの「既知の悪用脆弱性（KEV）」カタログ（2026年9月11日版）にも登録されていない。

日本の利用者への影響

ComfyUIは、ノードを組み合わせて画像生成の処理を組み立てるオープンソースのツールで、Webブラウザから操作する構成が基本である。サーバー上で稼働させ、別の端末のブラウザから利用する構成を取ることもできる。ネットワーク経由でこのサーバーに到達できる構成では、今回の攻撃経路が成立する。

今回の脆弱性は、画像アップロード用エンドポイントが認証を必要としないことを前提に成立する。修正コミットではweights_only=Trueが指定されており、この経路での任意コード実行を防ぐ内容になっている。社内や個人でComfyUIを運用している場合は、稼働中のバージョンを確認し、修正が反映されたバージョン（最新版はv0.35.0）への更新を検討したい。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。