AIの学習データ基盤Feastに認証なしの脆弱性が相次ぐ、サーバー乗っ取りとファイル書き込み CVE-2026-56121ほか、v0.63.0へ更新を

トップ/記事一覧/AIの学習データ基盤Feastに認証なしの脆弱性が相次ぐ、サーバー乗っ取りとファイル書き込み CVE-2026-56121ほか、v0.63.0へ更新を

ニュース2026年6月25日公開最終更新 2026年7月2日

この記事のポイント

AIや機械学習の開発でデータを管理する基盤『Feast』に、認証なしでサーバーを乗っ取られる脆弱性が見つかりました。CVE-2026-56121、深刻度は最高クラスのCVSS9.8。バージョン0.63.0より前が対象で、外部から細工した通信を一度送るだけで、Feastを動かすサーバー上で任意のプログラムを実行される恐れがあります。すぐに0.63.0へ更新してください。

AIや機械学習の開発で使うデータ基盤「Feast（フィースト）」に、外部から本人確認（認証）なしで悪用できる深刻な脆弱性（プログラムの欠陥）が相次いで見つかっています。ひとつはサーバーそのものを乗っ取られるCVE-2026-56121（深刻度9.8）、もうひとつはサーバーに勝手にファイルを書き込まれるCVE-2026-23537（深刻度9.1）です。いずれも認証なしで外部から突ける、危険度の高いタイプです。

結論を先に言うと、Feastを0.63.0以降へ更新すれば、この2件はどちらも解消されます。CVE-2026-23537は0.59.0で、CVE-2026-56121は0.63.0で修正されているため、最新版へ上げれば両方まとめて対策できます。CVE-2026-23537は、レッドハットのAI基盤Red Hat OpenShift AIに組み込まれたFeast部品も対象になっている点が新たに判明しました。以下、2件の中身と対策を整理します。

管理番号	中身	深刻度	修正版
CVE-2026-56121	認証なしでサーバー乗っ取り	9.8（緊急）	0.63.0
CVE-2026-23537	認証なしで任意ファイル書き込み	9.1（緊急）	0.59.0

Feastとは何のツールか

Feastは、機械学習のモデルが使うデータ項目（特徴量）を一元管理して配るためのオープンソースの基盤です。「特徴量ストア（feature store）」と呼ばれる種類のソフトで、たとえば不正検知や商品レコメンド、与信スコアリングのようなAIシステムで、学習時と本番運用時に同じデータを食い違いなく取り出せるようにする役割を担います。

利用者の幅は広く、公式サイトによるとRobinhood、NVIDIA、Discord、Cloudflare、Walmart、Shopify、Salesforce、IBM、Capital Oneなどが採用し、ダウンロードは累計1,200万回を超えます。GitHubのスター数は7,100超で、機械学習基盤（MLOps）の定番ツールのひとつです。

Feastはいくつかのサーバー機能を持っており、今回の2件はそれぞれ別の部分に潜んでいました。CVE-2026-56121は特徴量の定義をまとめた「レジストリ（台帳）サーバー」、CVE-2026-23537は特徴量の値などをネット越しに返す「フィーチャーサーバー（Feature Server）」にあります。どちらもチームやプログラムから共有して使うためにネットワークへ出す部分で、その通信処理に危険な穴がありました。

誰が狙い、何をされ、どうなるのか

まず前提として、これらの欠陥が危ないのはFeastのサーバー機能を、認証をかけずにネットワーク（社内LANやクラウド内、まして外部）へ公開している運用です。機械学習の基盤は社内ネットワークの奥に置かれることが多い一方、チーム間共有のためにアクセスを広げているケースや、クラウド上で他のサービスと同じネットワークに同居しているケースは珍しくありません。

そこを狙う攻撃者がすることは、本人確認を一切受けないまま、サーバー上で自分のプログラムを実行させたり、サーバーに任意のファイルを書き込んだりすることです。ログインも鍵も不要で、サーバーに通信が届く位置にいれば成立してしまう点が、両件の深刻度を最高クラスに押し上げています。

サーバーを乗っ取られたり、設定ファイルや起動用のスクリプトを書き換えられたりすると、被害はFeast本体にとどまりません。機械学習基盤には、学習用のデータ、本番に出すモデル、外部サービスへの接続情報（データベースやクラウドの認証情報）が集まりがちです。攻撃者はそこを足がかりに、データの抜き取り、モデルの改ざん（不正な予測をさせる土台づくり）、さらに社内ネットワークの奥への侵入へと進む恐れがあります。

このように外部から取り込んだデータを安全に展開できないまま動かす危険は、開発で使う外部部品の管理という観点ともつながります。取り込むパッケージやサービスの点検はOSS サプライチェーンスキャナーの考え方とあわせて見直す価値があります。また、実際に攻撃へ使われ始めた脆弱性は米政府機関CISAの「実際に攻撃されている脆弱性リスト」に載ることがあり、日本語で追える一覧はCISA KEV ダッシュボード（日本語版）にまとめています。

脆弱性の中身

2件はどちらも「ネットワーク越しに届いた要求を、本人確認なしで処理してしまう」という共通点があります。ただし、起きることはやや異なります。順に見ていきます。

CVE-2026-56121：レジストリサーバーの無防備な復元処理で任意実行（CVSS 9.8）

原因は、ネットワーク越しに受け取ったデータを無防備に「復元」してしまう点にあります。プログラムの世界では、データをいったん文字列の形に固めて送り、受け取った側で元の形に戻す処理（デシリアライズ）がよく使われます。この「戻す」処理に、送られてきた中身を信用しすぎる実装があると、攻撃者が細工した中身を使って任意のプログラムを実行できてしまいます。

VulnCheckの分析によると、Feastのレジストリサーバーは、gRPCで送られてきたデータをbase64という方式で符号化された状態から取り出し、Pythonの「dill」というライブラリで復元していました。問題は、この復元処理の前に本人確認（認可チェック）が一切なかったことです。

dillのようなPythonのデシリアライズはもともとRCE（任意のプログラム実行）に悪用されやすく、攻撃者は__reduce__（リデュース）という仕組みを仕込んだ細工データを送ることで、復元された瞬間に好きなコマンドを走らせられます。実行はFeastサービスの権限で行われるため、そのサーバーが触れる範囲のデータや認証情報まで攻撃者の手が届きます。要するに、認証なしの相手が一度の通信でサーバーを乗っ取れる、もっとも危険なタイプの欠陥です。

修正版の0.63.0では、この復元処理が見直され、信頼できない入力をそのまま実行しないように改められています。なお本件はバグ報奨金プラットフォームHuntr経由でVulnCheckが報告し、CVSSは評価方式3.1で9.8、新しい4.0で9.3とされています。

CVE-2026-23537：フィーチャーサーバーに認証なしで任意ファイル書き込み（CVSS 9.1）

もうひとつのCVE-2026-23537は、Feastのフィーチャーサーバーが持つ/save-documentという受け口（エンドポイント）にあります。NVDの説明によると、この受け口は本人確認（認可チェック）を欠いており、認証を受けていない外部の攻撃者が、サーバーのファイルシステム上に任意のJSONファイルを書き込めてしまいます。保存先を制限しようとする作りはあったものの、それが不十分でした。分類はCWE-862（認可の欠落）です。

ファイルを書き込めるだけでも危険は大きく、設定ファイルや起動時に読み込まれるスクリプトを上書きされれば、サーバーの挙動を乗っ取る足がかりになり得ます。書き込みで既存ファイルを壊せばサービス停止（DoS）にもつながります。深刻度の内訳は、情報の読み取りはなし（機密性への影響なし）とされる一方、書き換え（完全性）とサービス停止（可用性）への影響がいずれも高いためCVSS 9.1と評価されています。ログイン不要（認証なし）で外部から突ける点は56121と同じです。

この欠陥は0.59.0で修正されており、0.63.0にも当然含まれています。加えて、レッドハットのAI基盤Red Hat OpenShift AIに同梱されるFeast部品も影響を受けるとされ、レッドハットのセキュリティ情報で対象イメージと更新方法が案内されています。OpenShift AIでFeastを使っている場合は、そちらの更新手順にも従ってください。

自分が対象かどうかの早見表

影響を受けるのは0.63.0より前のバージョンで、サーバー機能をネットワークに公開している場合にとくに危険です。使っているバージョンは、Feastを入れた環境でfeast versionやpip show feastで確認できます。2件の修正版は異なりますが、0.63.0以降にすれば両方まとめて対策済みになります。

使っているバージョン	サーバー機能を公開している	やること
0.59.0 より前	公開している	最優先で 0.63.0へ更新（2件とも対象）
0.59.0〜 0.62.x	公開している	最優先で 0.63.0へ更新（56121が対象）
0.63.0 より前	公開していない（ローカルのみ）	早めに更新。公開予定なら更新後に
0.63.0 以降	―	対応不要（2件とも対策済み）

サーバー機能を使わず、手元（ローカル）のファイルだけで運用している場合は、外部から通信が届かないため危険度は下がります。ただし社内の別の端末から到達できる構成や、将来サーバー公開に切り替える可能性を考えると、いずれにせよ0.63.0以降への更新をおすすめします。Red Hat OpenShift AIでFeastを使っている場合は、レッドハットが案内する更新にも従ってください。

いま取るべき対策

最優先は、Feastを0.63.0以降へ更新することです。Pythonのパッケージとして配布されているため、pip install --upgrade feastなどで更新できます。配布ページで最新版を確認してください。これで56121・23537の2件とも解消されます。

すぐに更新できない場合は、サーバー機能（レジストリサーバー・フィーチャーサーバー）を不特定の相手から触れない位置に隔離することが当面の緩和策になります。具体的には、ネットワークの接続元を信頼できる範囲に絞る、外部公開していたなら一度止める、前段に認証の仕組みを置く、といった対応です。あわせて、身に覚えのないプロセスや通信、見慣れない管理者アカウント、覚えのないファイルの追加や書き換えがないかを点検してください。万一すでに乗っ取られていた場合に備え、Feastサーバーが保持していたデータベースやクラウドの認証情報は、更新後に入れ替えておくのが安全です。

まとめ

Feastでは、レジストリサーバーを認証なしで乗っ取れるCVE-2026-56121（CVSS 9.8）と、フィーチャーサーバーに認証なしで任意ファイルを書き込めるCVE-2026-23537（CVSS 9.1）という、2件の深刻な脆弱性が相次いで公開されました。いずれもログイン不要で外部から突けるタイプですが、0.63.0以降へ更新すれば両方ともまとめて解消できます。CVE-2026-23537はRed Hat OpenShift AIに組み込まれたFeast部品も対象です。

Feastのような機械学習基盤は、学習データやモデル、外部サービスへの認証情報が集まる要所です。乗っ取られると被害が周辺へ広がりやすいだけに、放置のリスクは小さくありません。サーバー機能を公開しているなら最優先で、そうでなくても早めに0.63.0以降へ更新してください。Feastに関する新たな脆弱性が出た場合は、引き続き本記事に追記して追っていきます。