vLLM の画像読み込みが Pillow 経由で EPS を処理し、Ghostscript の既知の脆弱性と組み合わさるとコマンド実行（CVE-2026-115915、CVSS v3.1 9.8）: 0.32.0 で修正

NVD は 2026-10-26 に、LLM 推論・サービング基盤「vLLM」の脆弱性 CVE-2026-115915 を登録しました。画像を扱う ImageMediaIO が、攻撃者の用意した画像データを、形式を限定せずに画像ライブラリ Pillow へ渡します。リクエストに付いた MIME の表記（image/png など）はデコーダの選択に影響しないため、EPS 形式のデータを画像として送ると、ホストの Ghostscript が呼び出されます。Ghostscript に既知の脆弱性 CVE-2024-29510 がある環境では、vLLM プロセスの権限でコマンドが実行され得ます。また Pillow 12.0.0〜12.2.0 の環境では、別の脆弱性 CVE-2026-59203 により画像読み込みのワーカーが枯渇するとされています。NVD の影響版は 0.30.0 以上 0.32.0 未満、修正版は 0.32.0 です。CVSS v3.1 は NVD の評価が 9.8（攻撃条件の複雑さ「低」）、GitHub の評価が 8.1（同「高」）と分かれています。

何が起きるか

• 対象は vLLM の 0.30.0 以上 0.32.0 未満（NVD の影響版範囲）で、画像入力を受け付けるリクエスト経路（OpenAI 互換のチャット API のマルチモーダル入力など）を使っている構成です。
• ImageMediaIO は Image.open(BytesIO(data)) を、許可する形式を指定せずに呼び出します。Pillow は EPS をファイルの先頭の署名で判別するため、MIME 表記を image/png にしていても EPS として処理され、Ghostscript が呼び出されます。
• 開発元の勧告によると、Debian の Ghostscript 10.03.0 を使った環境で、ローダー単体ではマーカー用のコマンドの実行を再現しています。一方、HTTP リクエストの経路はソースの追跡にとどまり、エンドツーエンドでは試していないと書かれています。
• 成立には、画像入力を受け付ける経路、その経路に届く呼び出し元（環境の認証設定による）、CVE-2024-29510 の影響を受ける Ghostscript が必要です。該当する依存がない環境では、対応する影響は出ません。
• 勧告は、これを Ghostscript の新しい脆弱性ではなく、vLLM が信頼できない形式を Pillow に振り分けている問題として扱っています。

評価が分かれている点

• NVD（Primary）は 9.8（AV:N／AC:L／PR:N／UI:N／C:H／I:H／A:H）、GitHub（Secondary）は 8.1（AV:N／AC:H／PR:N／UI:N／C:H／I:H／A:H）です。差は攻撃条件の複雑さで、Ghostscript の状態に依存する点を「高」とみるかの違いと考えられます（推定）。
• NVD の状態は Analyzed です。CISA の SSVC では、悪用 none、自動化 no、技術的影響 total とされています。
• EPSS は 0.0066（約 0.7%、パーセンタイル 51.6、11/1 付）です。CISA の KEV カタログ（2026.10.30 版）には載っていません。

修正の状況

• 修正版は 0.32.0 です。GitHub のリリース v0.32.0 は 2026-10-18 に公開され、修正コミット 710ac56 は、このタグの祖先であることを GitHub の比較で確認しました。修正 PR は #60022 です。
• 修正の具体的な方式（形式の許可リストの導入など）は、コミットの内容を精査していないため、確認していません。

severity を high とした理由

認証なしでネットワークから届き得て、成立すればコマンド実行に至る点を重く見ました。一方で、実際に成立するには画像入力の経路に届くことに加え、脆弱な Ghostscript が同じホストにあるという条件が要ります。HTTP 経路の実証は行われておらず、実際の攻撃での悪用は確認されていません。KEV にも載らず、EPSS も約 0.7% と低めで、修正版も出ています。このため critical ではなく high を提案します。NVD の 9.8 を重くみれば critical とする見方もあります。

対応として考えられること

1. 自組織で vLLM を使っているか、使っている版が 0.30.0 以上 0.32.0 未満に当たらないかを確認します。画像入力を有効にしているかも合わせて確認します。
2. 該当する場合は 0.32.0 以降へ更新し、更新後に版数を再確認します。
3. 更新までの間は、vLLM の API を信頼できないネットワークから到達させないようにし、画像入力が不要なら無効にします（推定）。
4. vLLM を動かすホストの Ghostscript が CVE-2024-29510 の修正済みの版であるかを確認し、必要なら更新します（推定）。Ghostscript を入れていない環境は、コマンド実行の条件を満たしません。
5. Pillow 12.0.0〜12.2.0 を使っている場合は、画像読み込みのワーカー枯渇に備え、版の更新を検討します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。KEV には未掲載です。
• 開発元の勧告によれば、HTTP リクエスト経路でのエンドツーエンドの実行は試されていません。
• 修正コミットの内容と、0.30.0 より前の版が影響を受けないかは確認していません。
• インターネットに公開されている該当サーバーの数や、利用者の規模は確認していません。