llama.cppに重大な脆弱性、ビルドb10261で修正

オープンソースのAIモデルランタイム「llama.cpp」に重大な脆弱性CVE-2026-116816が2026年10月27日に公開された。CVSS 4.0スコアは8.5。dailysecu.comが報じた。影響を受けるのはビルドb5899以降、b10261未満のビルドだ。

問題は日本語AIモデル群PLaMo2向けのトークン処理における入力検証の不備にある。異常なトークン値を含む細工されたGGUFモデルファイルを読み込むと、範囲外のメモリ書き込みが発生する。クラッシュのほか、任意コード実行につながる可能性があるが、コード実行に成功した攻撃は確認されていない。

悪用には被害者が実際に悪意あるモデルファイルを読み込んで処理することが必要で、リモートから認証なしで攻撃できるものではない。

修正は2026年8月4日に開発リポジトリへコミットされ、同日リリースされたビルドb10261に含まれた。CVE IDと詳細は10月27日に公表された。

利用者への推奨

利用者はビルドb10261以降へ更新することが推奨される。外部から取得したAIモデルファイルについては、入手元と完全性を確認するよう求められている。