画像生成AIツールComfyUIに乗っ取りの脆弱性 CVE-2026-68771、公開環境はv0.26.0へ更新を

画像を生成するAIツールとして世界中で使われている「ComfyUI」に、ログインなしでサーバーを乗っ取られる恐れのある深刻な脆弱性が見つかりました。脆弱性番号は「CVE-2026-68771」で、10点満点中9.8という最上位クラスの深刻度がついています。

問題は、ComfyUIの学習用データを読み込む機能にあります。攻撃者が細工したファイルを送り込むだけで、ComfyUIが動いているサーバー上で好きなプログラムを実行できてしまいます。しかも、パスワードでのログインは一切不要です。開発チームはこの穴を塞いだ最新版「v0.26.0」以降を公開済みで、現在の最新はv0.29.2です。現時点でこのCVE番号を悪用した実際の攻撃は確認されていませんが、ComfyUIをインターネットに公開している環境は、早めの更新が強くすすめられます。

この記事では、何が起きるのか、自分の環境は対象なのか、どうすればよいのかを、専門用語をかみくだいて整理します。

ComfyUIとは何か、今回何が起きたのか

ComfyUIは、文章から画像を作り出すAI（画像生成AI）を、部品をつなぐ感覚のマウス操作で扱えるようにしたソフトです。「Stable Diffusion」に代表される画像生成の仕組みを、四角いブロック（ノード）を線でつないで組み立てる独特の画面が特徴で、細かい調整をしたい人に人気があります。自分のパソコンに入れて使うほか、高性能な画像処理装置（GPU）を積んだクラウド上のサーバーに設置して使う人も多く、日本のAIイラスト・AI画像づくりの現場では定番の道具になっています。

今回見つかったのは、そのComfyUIに備わっている「学習用データセットの読み込み」機能の穴です。脆弱性を報告したVulnCheckのアドバイザリによると、ログインしていない第三者でも、細工したファイルを送り込むだけでサーバー上で任意のプログラムを実行できるとされています。深刻度（CVSS）は脆弱性の危険度を10点満点で表す国際的な指標で、9点以上が最上位の「緊急」に分類されます。今回の内容は次のとおりです。

ここで一番のポイントは「攻撃の前提」の欄です。多くの脆弱性は、まず何らかのアカウントでログインできることが出発点になります。ところが今回の穴は、ログインすら要りません。ComfyUIの画面に通信が届く状態、つまりインターネットや社内ネットワークからアクセスできる状態であれば、そのまま乗っ取りの起点になり得ます。だからこそ、ComfyUIを外から触れる場所に置いている環境ほど危険度が高くなります。

誰が狙い、何をしてくるのか

この穴を突く相手として現実的なのは、インターネット上に公開されているComfyUIのサーバーを機械的に探し回っている攻撃者です。ComfyUIはもともと手元のパソコンで動かすことを想定した道具ですが、実際には共同作業のためや、外出先から使うために、そのままインターネットに露出させてしまっている例が少なくありません。攻撃者はそうした「鍵のかかっていない入口」を自動化したツールで日々スキャンしており、ComfyUI特有の通信の受け口を見つけると、そこへ狙いを定めます。ログインの壁がないため、標的にされたら特別な下準備なしに攻撃へ移れてしまいます。

そうした相手は、画像の学習に使うデータファイルに見せかけた細工ファイルを送り込み、それを読み込ませることでサーバー上に自分のプログラムを走らせようとします。表向きはごく普通のファイルのやり取りに見えるため、管理者が異変に気づきにくいのも厄介な点です。いちど成功すれば、あとはそのサーバーを自由に操れる状態になります。

被害はComfyUIの画面の中だけでは終わりません。個人で使っている人にとっては、パソコンやクラウド上に保存した作品データ、学習に使った素材、他のサービスのログイン情報までのぞき見・持ち出しの対象になります。会社や制作チームで運用している場合は、高価なGPUサーバーを乗っ取られて仮想通貨の採掘（マイニング）に悪用されたり、そこを踏み台に社内の別のサーバーへ侵入されたりする恐れがあります。実際、過去にはインターネットに公開されたComfyUIのサーバーが大量に乗っ取られる事件も起きています（後述）。だからこそ、次に説明する更新と公開設定の見直しを後回しにしないことが対策の第一歩になります。

何が起きるのか、仕組みを見る

CVE-2026-68771: 学習データの読み込みから任意プログラム実行（深刻度9.8）

ComfyUIには、画像生成AIを自分好みに調整するための「学習（トレーニング）」機能があり、そのなかに学習用データをまとめたファイル（データセット）を読み込む部品「LoadTrainingDataset」があります。今回の穴は、この部品がファイルを読み込むときの処理にありました。

原因は「pickle（ピクル）」と呼ばれる、Pythonというプログラミング言語のデータ保存形式にあります。pickleは便利な反面、ファイルの中に「読み込んだ瞬間に指定したプログラムを実行せよ」という命令を埋め込めてしまう性質があります。ComfyUIは学習データを読み込む際に、この危険を防ぐ安全装置（weights_only=True）を付けないままtorch.loadという関数でファイルを開いていました。修正を行ったPull Request（PR #14543）の説明でも、これがコード全体で唯一、安全装置なしにファイルを読み込んでいた箇所だったと明記されています。

攻撃の流れはこうです。まず攻撃者は、ログインを求められないファイルアップロードの受け口（/upload/image）を使って、細工したデータファイルをサーバーに置きます。次に、そのファイルをLoadTrainingDatasetで読み込む処理をComfyUIに依頼（/prompt）します。あとはComfyUIがそのファイルを開いた瞬間に、埋め込まれた命令が動き出し、ComfyUIを動かしている利用者の権限でサーバー上の好きなコマンドが実行されてしまう、という仕組みです。この一連の流れに、パスワードや管理者権限は一切必要ありません。

開発チームは2026年6月18日にこの箇所へ安全装置を追加する修正コミットを反映し、6月23日公開のv0.26.0で正式に配布しました。発見者はBofei Chen氏で、CVE情報そのものは7月31日に公開されています。

なぜ今、AIツールで同じ穴が続くのか

今回の脆弱性は、ComfyUI固有のうっかりミスというより、AI・機械学習まわりのソフトが抱える構造的な弱点の一例です。画像や言語のAIは大量のデータやモデルをファイルでやり取りしますが、その保存形式に前述のpickleが広く使われています。そして「便利だから」とpickleを無防備に読み込むコードが、あちこちのAIツールに残っています。

実際、2026年に入ってからも、画像生成のOmniGen2、NVIDIAの映像生成GEN3C、大規模言語モデルの実行基盤sglangなど、同じ「pickleの無防備な読み込みによる乗っ取り」が次々と報告されています。ComfyUI自身も、過去にモデル読み込み部分での似た指摘（issue #12245）や、拡張機能管理ツールComfyUI-Managerのファイルアップロードからの乗っ取り（CVE-2025-67303）を経験しています。

こうした「配布されるファイルやパッケージそのものに毒を仕込む」タイプの攻撃は、AIに限らずソフト開発の世界全体で増えています。当サイトでは、PyPIというPythonの部品配布サイトが乗っ取られたTelnyxの事例や、npmの連鎖汚染TanStack・Nx Console事件も取り上げてきました。自分たちが使っている部品に危ない読み込み処理が潜んでいないかを継続的に点検する仕組みとして、OSSサプライチェーン スキャナーのまとめもあわせて参考にしてください。

自分の環境は対象か、何をすればよいか

判断の軸はバージョンです。使っているComfyUIがv0.26.0より前なら対象、v0.26.0以降なら修正済みです。バージョンはComfyUIの画面や起動時のログで確認できます。

ここで修正版の表記に一点、注意が必要です。脆弱性情報データベースのNVDは、今回の影響範囲を「v0.23.0以前」と記載しています。しかし、実際に安全装置を加えた修正が反映されたのは6月23日公開のv0.26.0であり、その一つ前のv0.24.0やv0.25.x系にも同じ危険な読み込み処理が残っていました。一次情報にあたる修正コミットの反映時期から見れば、安全といえるのはv0.26.0以降です。NVDの「v0.23.0以前」という表記は影響範囲を狭く見せてしまうため、v0.24系・v0.25系を使っている場合も対象だと考えて更新してください。

更新の方法は環境によって異なりますが、GitHubの最新リリースを取り込むか、ComfyUIの更新機能を使うのが基本です。すぐに更新できない場合の当面のリスク低減策として、ComfyUIをインターネットから直接触れない場所に移すことが最も効果的です。具体的には、社内ネットワークやVPNの内側だけからアクセスできるようにする、手前に認証付きの入口（リバースプロキシなど）を置いてログインを必須にする、使っていないときはサービスを止める、といった運用の見直しが有効です。今回の穴はログイン不要で成立するため、そもそも外から画面に届かせないことが決定的な差になります。

実際に攻撃されているのか

2026年8月1日時点で、このCVE-2026-68771そのものが実際の攻撃に使われたという報告は確認されていません。米政府機関CISAが公開している「実際に攻撃が確認された脆弱性のリスト（KEVカタログ）」にも、今回の脆弱性は登録されていません。ただし、攻撃の具体的な流れ（どの受け口を使い、どう読み込ませるか）はアドバイザリですでに公開されており、攻撃ツールが作られるまでの時間は長くないと考えるのが安全です。

見過ごせないのは、ComfyUIがこれまでにも実際に狙われてきた実績があることです。2025年には、中国のセキュリティ研究機関XLabが、インターネットに公開されたComfyUIのサーバーを狙う「Pickai」と呼ばれるバックドア（裏口）の感染を報告し、確認されただけで約695台のサーバーが乗っ取られていたとされています。感染したサーバーは遠隔操作や裏口の維持に悪用されました。公開状態のComfyUIが現実の標的になっていることを示す事例であり、「まだこのCVEでは攻撃されていない今のうちに」更新と公開設定の見直しを済ませておくのが得策です。

これまでの経緯

← スワイプで移動

まとめ

画像生成AIの定番ツールComfyUIに、ログインなしでサーバーを乗っ取られる深刻度9.8のCVE-2026-68771が見つかり、v0.26.0で修正されました。学習データを読み込む部品が、危険なファイル形式（pickle）を安全装置なしで開いていたことが原因で、細工したファイルを送り込むだけで任意のプログラムを実行されてしまいます。実際の攻撃報告はまだありませんが、攻撃の仕組みは公開済みで、過去にはインターネットに公開されたComfyUIが大量に乗っ取られた事件も起きています。v0.25.1以前を使っている環境は、攻撃が広まる前にv0.26.0以降へ更新し、あわせてComfyUIを外から直接触れない場所へ移す設定の見直しを行うことがすすめられます。ソフトの部品に潜む危ない読み込み処理への向き合い方は、OSSサプライチェーン スキャナーのまとめもあわせて参考にしてください。

参照元

• ▸ NVD - CVE-2026-68771
• ▸ VulnCheck Advisory - ComfyUI Unauthenticated RCE via LoadTrainingDataset Pickle Deserialization
• ▸ ComfyUI PR #14543 - harden: load training-dataset shards with weights_only=True
• ▸ ComfyUI 修正コミット（94ee49b）
• ▸ ComfyUI v0.26.0 リリース
• ▸ ComfyUI issue #12245（checkpoint_pickle の安全でない読み込み）
• ▸ GitHub Advisory - ComfyUI-Manager CVE-2025-67303