---
title: "医療画像 AI の MONAI 1.6.0 で Auto3DSeg の作業フォルダ読み込みから任意コード実行（CVE-2026-119578）: 1.6.1 で修正"
url: https://n-t-p.io/worldsecurity/articles/monai-auto3dseg-algo-from-json-untrusted-target-code-execution-cwe-470-cve-2026-119578-fixed-1-6-1
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 中
cve: CVE-2026-119578
---

# 医療画像 AI の MONAI 1.6.0 で Auto3DSeg の作業フォルダ読み込みから任意コード実行（CVE-2026-119578）: 1.6.1 で修正

> **TL;DR:** 医療画像 AI フレームワーク MONAI の 1.6.0 で、Auto3DSeg が作業フォルダの algo_object.json に書かれた _target_ をそのまま取り込んで実行し、細工したフォルダを開くと任意コード実行になる（CVE-2026-119578、CWE-470）。修正は 1.6.1。CVSS v4.0 は 8.5（VulnCheck）、EPSS 0.55%、KEV なし。

**要点**
- MONAI 1.6.0 の Auto3DSeg が、algo_object.json の _target_ と template_path を信頼したまま取り込み・実行する（CWE-470）
- 細工した作業フォルダ（共有される出力・学習済みアルゴリズムの束など）を AutoRunner や import_bundle_algo_history で開くと、既定の設定でコードが動く。被害者の操作が必要でローカル経路
- 1.6.1（2026-09-27）で _target_ を Algo のサブクラスに限る検査を追加。ただし取り込み時のモジュール先頭のコードが動く点は残ると PR が明記
- CVSS v4.0 は 8.5（VulnCheck の値）。NVD の状態は Deferred。EPSS 0.55%、KEV なし
- 実際の悪用、1.6.0 より前の版への影響は未確認

NVD は 2026-10-30（14:16 UTC）に、医療画像向け AI フレームワーク MONAI の CVE-2026-119578 を登録しました。説明によると、1.6.0 から 1.6.1 の前までの Auto3DSeg（自動学習機能）は、作業フォルダ内の `algo_object.json` を読み込む `algo_from_json()` で、ファイルに書かれた `_target_`（Python の名前）を取り込んで実行します。細工した作業フォルダを `AutoRunner` や `import_bundle_algo_history` で開くと、既定の設定のまま、フォルダに同梱された Python モジュールのコードが動きます。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」です。

## 何が起きるか

- `algo_from_json()` は `algo_object.json` の `_target_`（取り込んで呼び出す名前）と `template_path`（モジュール探索パスに加えるフォルダ）を信頼したまま使います。ファイルの隣にある `algorithm_templates` フォルダも自動で探索パスに加わります。
- 攻撃に使うのは、共有される成果物（学習結果の出力フォルダ、学習済みアルゴリズムの束、共同作業用フォルダなど）に細工したものです。被害者がそれを読み込んだ時点でコードが動きます。
- MONAI の GitHub 勧告（GHSA-2wx3-8x3w-r8qv）によると、`AutoRunner` の初期化時点（データ検証より前）で実行され、`MONAI_ALLOW_PICKLE` の設定がなくても成立します。
- 攻撃者が被害者に細工フォルダを開かせる必要があります（CNA の評価でも利用者操作＝passive が付いています）。ネットワークから直接は到達できません。

## 修正の内容

- MONAI の修正 PR #9115（2026-09-17 マージ）は、`_target_` を `Algo` のサブクラスに限る検査を、実際に取り込む前に行います。修正を含む 1.6.1 は 2026-09-27 に公開されています（PR のマージ後のコミットが 1.6.1 のタグに含まれることを Git の比較で確認）。
- PR 自身が残る危険を明記しています。名指しされたモジュールを取り込む時点でそのモジュールの先頭のコードが動くため、細工した作業フォルダを開く危険は完全には消えません（PR の説明）。
- その後の PR #9233（2026-10-29 マージ）は、保存された状態値の扱いを直接値として復元するよう改めたものです。1.6.1 には含まれず、リリース済みの版は 1.6.1 が最新です。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119578（CWE-470 外部入力による任意クラス・コードの選択） |
| 影響版 | MONAI 1.6.0 以上 1.6.1 未満（NVD の説明）。つまり 1.6.0 |
| 修正版 | 1.6.1（2026-09-27 公開） |
| CVSS v4.0 | 8.5（High、AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H）。VulnCheck（CNA）の値で、NVD 自身の評価はなし。v3.1 なし |
| 状態 | NVD の状態は「Deferred」 |
| EPSS | 0.55%（パーセンタイル 46.2%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |

## severity を medium とした理由

CNA の評価は 8.5 ですが、成立には細工した作業フォルダを被害者が自分で開く必要があり、攻撃経路はローカルです。EPSS は低く、KEV にも載っていません。一方で、成立すれば実行ユーザーの権限でコードが動き、学習用の計算機や機密性の高い医療データを扱う環境では影響が大きいため、medium としました。

## 対応として考えられること

1. 利用中の MONAI が 1.6.0 であれば 1.6.1 へ更新します。
2. 出所が分からない Auto3DSeg の作業フォルダ・学習済みアルゴリズムの束を、`AutoRunner` や `import_bundle_algo_history` で開かないようにします。受け取った成果物は、隔離した環境で扱うのが無難です（本記事の推定。公式な回避策は未確認）。
3. 1.6.1 でも、取り込み時のモジュール先頭のコードが動く点は PR の説明どおり残ります。上の運用を続けます。

## 未確認の点

- 実際の悪用は確認していません。攻撃の具体的な手順・細工の内容は本記事には載せません。
- 1.6.0 より前の版が同じ読み込みの仕組みを持つかは確認していません（NVD は 1.6.0 以上を対象としています）。
- CVSS は VulnCheck（CNA）の v4.0 の値のみで、NVD 自身の評価は確認できていません。
- 1.6.1 のリリースノートでの本件の明記は確認できていません。修正が入っていることは Git の履歴から確認しました。
- 日付は NVD の登録（2026-10-30 14:16 UTC）と GitHub の公開情報に基づきます。


## 出典
- [NVD CVE-2026-119578](https://nvd.nist.gov/vuln/detail/CVE-2026-119578) — NIST NVD
- [MONAI セキュリティ勧告 GHSA-2wx3-8x3w-r8qv](https://github.com/Project-MONAI/MONAI/security/advisories/GHSA-2wx3-8x3w-r8qv) — GitHub
- [MONAI 修正 PR #9115](https://github.com/Project-MONAI/MONAI/pull/9115) — GitHub
- [MONAI 追加修正 PR #9233](https://github.com/Project-MONAI/MONAI/pull/9233) — GitHub
- [MONAI 1.6.1 リリース](https://github.com/Project-MONAI/MONAI/releases/tag/1.6.1) — GitHub
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/monai-1.6.0-before-1.6.1-code-execution-via-auto3dseg-algo-from-json) — VulnCheck
- [FIRST EPSS CVE-2026-119578](https://api.first.org/data/v1/epss?cve=CVE-2026-119578) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/monai-auto3dseg-algo-from-json-untrusted-target-code-execution-cwe-470-cve-2026-119578-fixed-1-6-1