---
title: "Crawl4AI の Docker API で、読み込む機械学習モデルをリクエストから指定でき、悪意あるモデルでコード実行の恐れ（CVE-2026-119120）: 0.9.5 で修正、CVSS 7.5（VulnCheck）"
url: https://n-t-p.io/worldsecurity/articles/crawl4ai-cosinestrategy-model-name-untrusted-model-loading-pickle-rce-0-9-0-to-0-9-4-cve-2026-119120
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-119120
---

# Crawl4AI の Docker API で、読み込む機械学習モデルをリクエストから指定でき、悪意あるモデルでコード実行の恐れ（CVE-2026-119120）: 0.9.5 で修正、CVSS 7.5（VulnCheck）

> **TL;DR:** Web クローラー用ライブラリ Crawl4AI の Docker API で、CosineStrategy の model_name が絞り込まれず、認証済みのクライアントが読み込む HuggingFace モデルを選べる。悪意ある pickle 形式の重みを指定すると、PyTorch 2.6 未満では Python コードが実行され、そうでなくてもディスクとメモリを消費させられると説明されている（CVE-2026-119120、CWE-502）。0.9.0 以上 0.9.5 未満が対象で、0.9.5 で修正。CVSS v3.1 は 7.5（VulnCheck が付与、NVD 自身の評価はなし）。EPSS 0.42%、KEV なし。

**要点**
- Crawl4AI の Docker API サーバー（0.9.0 以上 0.9.5 未満）が、CosineStrategy の model_name をリクエストから受け取り、そのまま HuggingFace のモデル取得に使う。認証済みのクライアントが任意のモデルを読み込ませられる
- 悪意ある pickle 形式の重みを指定すると、PyTorch 2.6 未満の環境では任意の Python コードが実行される可能性がある。巨大なモデルでディスクやメモリを使い尽くす使い方も説明されている
- CVSS v3.1 は 7.5（VulnCheck の値、攻撃の複雑さ High、権限 Low）。NVD の状態は Deferred。EPSS 0.42%（パーセンタイル 36.2%、10/31）、KEV なし、悪用の報告は未確認
- 対応は 0.9.5 以降への更新（推定）。更新できない間は Docker API への到達を限定し、外部モデル配布元への通信を制限、PyTorch 2.6 以降を使う
- GitHub アドバイザリ本文、修正の詳細、悪用の有無、認証の既定の設定は未確認

NVD は 2026-10-29（16:18 UTC）に、Web クローラー／スクレイピング用の Python ライブラリ Crawl4AI の CVE-2026-119120 を登録しました。説明によれば、**0.9.0 以上 0.9.5 未満**の Docker API サーバーが、信頼できないリクエスト本文に含まれる `CosineStrategy` の `model_name` 項目を絞り込まず、**認証済みのクライアントが、サーバーに読み込ませる HuggingFace のモデルを選べる**状態でした。攻撃者が pickle 形式の重みファイルを含む悪意あるリポジトリを指定すると、**PyTorch 2.6 未満の環境では Python コードを実行でき**、そうでなくてもディスクとメモリを使い尽くせる、と説明されています。弱点の分類は CWE-502（信頼できないデータのデシリアライズ）です。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」です。

## 何が起きるか（CNA の説明）

- 対象は、Crawl4AI を Docker API サーバーとして動かしている環境です。抽出戦略 `CosineStrategy` に渡す `model_name` が、外部から来た値のまま埋め込みモデルの取得に使われます。
- 認証を通ったクライアントは、任意の HuggingFace リポジトリ名を指定し、サーバーにそのモデルをダウンロード・読み込みさせられます。
- 読み込まれるのが pickle 形式の重みで、PyTorch が 2.6 未満の場合、読み込み時に任意の Python コードが動く可能性があります（CNA の説明）。2.6 以降でも、巨大なモデルを指定してディスクやメモリを消費させる使い方は残ると読めます（本記事の推定）。
- ベクターは、ネットワークから・攻撃の複雑さ High・必要な権限 Low・操作不要で、機密性・完全性・可用性のすべてが High です。複雑さが High とされているのは、攻撃者が用意した外部リポジトリへサーバーが到達できることや PyTorch の版などの前提があるためと読めます（本記事の推定）。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119120（CWE-502） |
| 影響 | Crawl4AI 0.9.0 以上 0.9.5 未満（pkg:pypi/crawl4ai）。Docker API サーバー |
| 修正 | 0.9.5（GitHub リリース 2026-10-14）。NVD の影響版情報では 0.9.5 は「unaffected」 |
| CVSS v3.1 | 7.5（High、CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H）。VulnCheck（CNA）の値 |
| CVSS v4.0 | 7.7（High）。同じく VulnCheck（CNA）の値 |
| 状態 | NVD の状態は「Deferred」（NVD 自身の評価はなし） |
| EPSS | 0.42%（パーセンタイル 36.2%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON、2026-10-30 版で確認） |

## severity を high とした理由

CVSS は High（7.5）で、CNA の説明どおりなら実行できるコードの影響は大きい一方、認証済みのクライアントであること、サーバーから攻撃者のリポジトリへ到達できること、PyTorch が 2.6 未満であること（コード実行の場合）が前提になります。EPSS も低い水準で、KEV にも載っていません。以上を踏まえ、critical にはせず high としました。該当する構成では、認証済みの利用者がサーバー上でコードを動かせる点に注意が必要です。

## 対応として考えられること

1. 自組織で Crawl4AI を使っているか、特に Docker API サーバーとして公開・共有していないかを洗い出します。ライブラリとして手元でのみ使う場合は、リクエスト経由で `model_name` を指定される経路がないかを確認します。
2. 0.9.0 以上 0.9.5 未満であれば、0.9.5 以降へ更新します（修正が 0.9.5 に入っていることは CNA の影響版情報と GitHub リリースからの推定です）。Docker イメージを使っている場合は、タグを更新して作り直します。
3. すぐに更新できない場合は、Docker API への到達を信頼できるネットワークと認証済みの利用者に限定し、サーバーから外部のモデル配布元への通信を制限します。
4. 実行環境の PyTorch を 2.6 以降にします。CNA はコード実行が 2.6 未満の場合の問題だと説明しています。ただし他のライブラリへの影響を確認してから更新してください。
5. 不審なモデルの取得がなかったかを、サーバーのログとモデルのキャッシュ（取得済みのモデルの一覧、ディスク使用量）で確かめます。具体的な攻撃の指標は公開されておらず、未確認です。

## 未確認の点

- 修正が 0.9.5 の具体的にどの変更で入ったかは、リリースノートに詳細がなく確認できていません（CNA の影響版情報と GitHub のリリース日からの推定です）。GitHub のアドバイザリ本文も取得できていません。
- 実際の悪用、公開されている PoC、攻撃の再現は確認していません。KEV にも載っていません（確認時点の版）。
- 認証が既定で有効かどうか、どのような認証方式かは確認していません。
- CVSS は VulnCheck（CNA）の値のみで、NVD 自身の評価は確認できていません。
- 日付は NVD の登録（2026-10-29 16:18 UTC）と、GitHub のリリース日（2026-10-14）に基づきます。


## 出典
- [NVD CVE-2026-119120](https://nvd.nist.gov/vuln/detail/CVE-2026-119120) — NIST NVD
- [VulnCheck Advisory（Crawl4AI 0.9.0 before 0.9.5）](https://www.vulncheck.com/advisories/crawl4ai-0.9.0-before-0.9.5-untrusted-model-loading-via-cosinestrategy-model-name) — VulnCheck
- [GitHub アドバイザリ GHSA-f856-7xp9-w3cc](https://github.com/unclecode/crawl4ai/security/advisories/GHSA-f856-7xp9-w3cc) — GitHub
- [Crawl4AI v0.9.5 リリース](https://github.com/unclecode/crawl4ai/releases/tag/v0.9.5) — GitHub
- [FIRST EPSS CVE-2026-119120](https://api.first.org/data/v1/epss?cve=CVE-2026-119120) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/crawl4ai-cosinestrategy-model-name-untrusted-model-loading-pickle-rce-0-9-0-to-0-9-4-cve-2026-119120