---
title: "vLLM の P2pNcclConnector で X-Request-Id ヘッダーから外向き接続を作られ、KV キャッシュが漏れるおそれ（CVE-2026-116176、CVSS v3.1 8.2）: 0.24.0 で修正"
url: https://n-t-p.io/worldsecurity/articles/vllm-p2pncclconnector-x-request-id-ssrf-kv-cache-leak-0-9-2-before-0-24-0-cve-2026-116176
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-116176
---

# vLLM の P2pNcclConnector で X-Request-Id ヘッダーから外向き接続を作られ、KV キャッシュが漏れるおそれ（CVE-2026-116176、CVSS v3.1 8.2）: 0.24.0 で修正

> **TL;DR:** vLLM の P2pNcclConnector 構成で、X-Request-Id ヘッダーに接続先を埋め込むと prefill ワーカーが攻撃者のホストへ接続し、KV キャッシュ（プロンプト内容を含む）が漏れる、またはワーカーが止まる（CVE-2026-116176）。0.9.2 以上 0.24.0 未満が対象で、0.24.0 でコネクタごと削除。CVSS v3.1 8.2、EPSS 約 0.3%、KEV なし。

**要点**
- X-Request-Id の値から接続先を取り出す処理に許可リストがなく、API を呼べる相手が prefill ワーカーに外向き接続を作らせ、KV キャッシュを持ち出せる（応答しない先を指定するとワーカーが止まる）
- 対象は 0.9.2 以上 0.24.0 未満で、P2pNcclConnector 付きの KV 転送設定（kv_producer）で起動している場合のみ。0.24.0（2026-06-29 公開）でコネクタ自体が削除された
- NVD は Analyzed。CVSS v3.1 8.2（VulnCheck、CNA 評価）、v4.0 8.8。GitHub 勧告は high。権限不要、API キー未設定ならキーも不要
- EPSS 約 0.3%、KEV なし。悪用と公開済みの概念実証は未確認
- 更新が根本対策。すぐ更新できない場合は prefill ワーカーを内部ネットワークに限り、プロキシで X-Request-Id を除去・上書き（推定）

NVD は 2026-10-25 に、LLM 推論エンジン vLLM の脆弱性 CVE-2026-116176 を登録しました。0.9.2 以上 0.24.0 未満が対象です。HTTP の X-Request-Id ヘッダーに特定の文字列を入れると、KV 転送コネクタ「P2pNcclConnector」を使う prefill ワーカーが、攻撃者の指定したホストへ外向きに接続します。API を呼べる相手が、処理中のリクエストのプロンプトや KV キャッシュを持ち出せる、という内容です。修正版は 0.24.0 で、2026-06-29 に公開されています。

## 何が起きるか

- vLLM の API サーバーは、X-Request-Id ヘッダーの値をそのままリクエスト ID として内部で使います。P2pNcclConnector はこの ID から、正規表現でホストとポートを取り出します。許可リストやスキームの確認はありません。
- 攻撃者がヘッダーに接続先を埋め込んだリクエストを /v1/completions や /v1/chat/completions に送ると、prefill ワーカーはそのホストへ ZMQ で外向きに接続し、NCCL の通信用 ID（unique_id）を送ります。続けて、そのリクエストの KV キャッシュのテンソルが攻撃先へ送られます（開発元の勧告）。
- KV キャッシュにはプロンプトの内容や、先頭部分が共有されたキャッシュの隠れ状態が含まれます。そのため、ワーカーが処理した他のリクエストの内容まで漏れる可能性があると勧告は述べています。
- 攻撃先が応答しない場合、NCCL の初期化呼び出しがブロックされ、prefill ワーカーが止まります（サービス拒否）。
- 条件は、サーバーを P2pNcclConnector 付きの KV 転送設定（kv_connector に P2pNcclConnector、kv_role に kv_producer）で起動していることです。この設定でない通常のサーバーは対象外です。追加の権限は不要で、API キーが設定されていれば有効なキーが必要、未設定なら不要です。
- 弱点の種別は CWE-918（サーバーサイドリクエストフォージェリ）です。

## 評価の状況

- NVD の状態は Analyzed です。CVSS v3.1 は 8.2（AV:N／AC:L／PR:N／UI:N／S:U／C:H／I:N／A:L）で、評価元は VulnCheck（CNA）です。NVD 自身の評価は載っていません。VulnCheck は CVSS v4.0 を 8.8 としています。
- GitHub の開発元勧告は重大度 high、CVE は未記載です（NVD は VulnCheck 登録の CVE から勧告を参照）。
- EPSS は 0.0032（約 0.3%、パーセンタイル 24.8、11/1 付）です。CISA の KEV カタログ（2026.10.30 版）には載っていません。

## 修正の状況

- 修正版は 0.24.0 です。GitHub のリリース（v0.24.0、2026-06-29）と PyPI の公開を、11/2 に確認しました。リリースノートに該当の PR #44854 が含まれています。
- 修正は、脆弱な P2pNcclConnector を削除する内容です。ヘッダーの検証を足すのではなく、コネクタそのものがなくなります。このため、同じコネクタを使い続けたい場合は、別の KV 転送の方式への移行が必要になります（推定）。
- 最新のリリースは 0.32.0 です。0.24.0 以降はコネクタがないため、更新が根本対策になります。

## 対応として考えられること

1. 自組織の vLLM が 0.9.2 以上 0.24.0 未満か、かつ P2pNcclConnector を使う KV 転送設定になっているかを確認します。
2. 該当する場合は 0.24.0 以降（できれば現行の 0.32.0 系）へ更新し、KV 転送は別の方式に切り替えます。更新後に版数を再確認します。
3. すぐに更新できない場合は、prefill ワーカーの API を信頼できる内部ネットワークに限り、プロキシ側でクライアントからの X-Request-Id を除去または上書きします（推定）。
4. prefill ワーカーから見慣れない外部ホストへの TCP 接続がなかったかを、ネットワークの記録で確認します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。KEV には未掲載です。
- 公開済みの概念実証コードの有無は確認していません。
- P2pNcclConnector を使った構成が実環境でどのくらいあるかは確認していません。0.9.2 より前の版が影響を受けるかも確認していません。


## 出典
- [NVD CVE-2026-116176](https://nvd.nist.gov/vuln/detail/CVE-2026-116176) — NIST NVD
- [開発元 GitHub セキュリティ勧告 GHSA-vfp2-c8pq-v6h6](https://github.com/vllm-project/vllm/security/advisories/GHSA-vfp2-c8pq-v6h6) — GitHub
- [VulnCheck 勧告（vLLM 0.9.2 before 0.24.0 SSRF via X-Request-Id in P2pNcclConnector）](https://www.vulncheck.com/advisories/vllm-0.9.2-before-0.24.0-ssrf-via-x-request-id-in-p2pncclconnector) — VulnCheck
- [開発元 修正 PR #44854（P2pNcclConnector の削除）](https://github.com/vllm-project/vllm/pull/44854) — GitHub
- [vLLM v0.24.0 リリース](https://github.com/vllm-project/vllm/releases/tag/v0.24.0) — GitHub
- [PyPI vllm 0.24.0](https://pypi.org/project/vllm/0.24.0/) — PyPI
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-116176) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/vllm-p2pncclconnector-x-request-id-ssrf-kv-cache-leak-0-9-2-before-0-24-0-cve-2026-116176