米当局、AIフレームワーク「Ray」の脆弱性悪用を警告

米当局は、AIやPythonアプリケーションをスケールさせるためのフレームワーク「Ray」における脆弱性が実際の攻撃で悪用されているとして注意喚起を行った。ブラウザ上で悪意ある広告を表示しただけでもコードを実行されるおそれがあり、注意が必要となる。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間2026年8月17日、「CVE-2025-62593」を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

「CVE-2025-62593」は、ブラウザ「Firefox」「Safari」を介して、リモートよりコードを実行されるおそれがある脆弱性。2025年11月に公表され、「同2.52.0」にて修正された。概念実証（PoC）なども公開されている。

「Ray」を利用する開発者が、開発環境でこれらブラウザを利用している場合、DNSリバインディング攻撃などを組み合わせることでコードインジェクションが可能。ブラウザ上で悪意のある広告が表示された場合なども脆弱性が悪用されるおそれがあると危険性が指摘されていた。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.4」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

CISAは、米行政機関に対して2026年8月20日までに対策を講じるよう求めた。脆弱性は広く悪用されるおそれがあり、同ソフトウェアを活用する組織においても注意が必要となる。

（Security NEXT - 2026/08/18 ）ツイート