NVIDIA Triton推論サーバに脆弱性5件 最大9.8

NVIDIAは2026年8月18日、AI推論サーバ「NVIDIA Triton Inference Server」の脆弱性5件を公表し、修正版を案内しました。最も深刻なものはCVSS基本値9.8（緊急）のパストラバーサル（CVE-2026-47627）で、影響を受けるのはLinux版の0.0〜26.05、修正版は26.06です。

ただし本件で情シスが押さえるべき要点は「緊急パッチが出た」ではありません。修正版26.06は、公表の約7週間前にあたる2026年6月26日にすでに公開されていました。つまり毎月のコンテナ更新に追随している環境はとうに直っている一方、バージョンを固定して運用している環境は、その間ずっと気づかないまま該当し続けていたことになります。まずは自社にTritonが動いていないかの確認から始めてください。

この記事でわかること

• NVIDIA Triton Inference Serverとは何で、どこに紛れ込んでいるのか
• 今回公表された5件の脆弱性の内容と深刻度
• 「修正版が先、公表が後」というNVIDIAの公表リズムと、バージョン固定運用の盲点
• 自社に該当するかを短時間で確認する具体的な手順

NVIDIA Triton Inference Serverとは何か

NVIDIA Triton Inference Serverとは、学習済みのAIモデルを本番環境で提供（推論）するためのオープンソースの推論サーバです。NVIDIA公式は「AI推論を効率化するオープンソースの推論サービングソフトウェア」と説明しています。TensorRT・PyTorch・ONNX・OpenVINO・Pythonなど複数のフレームワークのモデルを、同じHTTP／gRPCのAPIで配信できる点が特徴です。

使うのは、社内でAIモデルを本番運用するチーム——データ分析部門やAI推進室、製品開発部門です。GPUサーバ上にコンテナで立て、業務システムやチャットボットからAPIで叩く形が典型になります。

そして情シスにとって重要なのは3つ目、「導入した覚えがなくても動いていることがある」という点です。Tritonは単体でダウンロードして使うだけのものではありません。

• NVIDIA AI Enterprise に含まれる：NVIDIA公式ドキュメントは「TritonはNVIDIA AI Enterpriseの一部」と明記しています。GPU基盤をこのスイートで導入していれば、構成要素として入ってきます。
• 主要クラウドのML基盤が連携先として対応：NVIDIAの製品ページは、AWS SageMaker・Microsoft Azure Machine Learning・Google Cloud Vertex AI・Oracle Cloud Infrastructure などを連携先として挙げています。
• コンテナで来る：配布形態は nvcr.io/nvidia/tritonserver:<タグ>-py3 というコンテナイメージです。OSのパッケージ管理にも、資産管理ツールの「インストール済みソフトウェア一覧」にも出てきません。

「うちはNVIDIAの推論サーバなんて入れていない」と即断せず、後述の確認手順で実際に見てください。

何が起きたのか：公表された5件

NVIDIA PSIRTのセキュリティ速報（Bulletin 5865、2026年8月18日公開）で公表された5件は次のとおりです。いずれも対象はLinux版のみです。

上位3件はいずれも AV:N/PR:N/UI:N、すなわちネットワーク経由で、認証も利用者の操作も不要です。Tritonの推論エンドポイントに到達できる位置にいる相手であれば、それだけで成立し得るという読み方になります。

影響バージョンと修正版

NVIDIAの案内は「26.06以降に更新すること」です。執筆時点の最新は26.07（2026年7月29日リリース）なので、素直に最新へ寄せるのが早道です。

本題：修正版は約7週間前にすでに出ていた

ここが本件で最も実務に効く事実です。GitHubのリリース履歴で日付を突き合わせると、次のようになります。

修正版の公開から公表まで、およそ7週間の開きがあります。しかもこれは今回に限った話ではありません。2026年のTriton向け速報を並べると、同じリズムが繰り返されているのが分かります。

2026年だけで7本の速報、合計31件です。そして修正版が明記されている直近3本はいずれも、修正が入ったコンテナが先にリリースされ、CVEとしての公表はその6週間〜4か月後という順序になっていました。

この順序が意味することは、運用の型によってきれいに分かれます。

• 毎月の新タグに追随している環境：公表を待たずに直っている。8月18日の発表を見ても「すでに26.07だから対象外」で終わります。
• タグを固定している環境（tritonserver:26.05-py3 のように月次タグで固定、あるいは検証済みイメージを社内レジストリに置いて据え置き）：公表されるまで、自分が該当していることを知る手段がありません。CVE一覧やJVNの注意喚起を入口にした脆弱性管理は、この期間を丸ごと素通りします。

AI基盤は「安定して動いているものは触らない」が働きやすい領域です。GPUドライバやCUDAとの組み合わせ検証に手間がかかるため、動作確認が済んだイメージを固定したくなる。その判断自体は妥当なのですが、固定した瞬間から、脆弱性の把握はCVE公表というワンテンポ遅い経路だけに頼ることになります。

CVSSの数字だけで優先度を決めない

今回のスコアの付き方には、読む側が注意すべき点があります。最大のCVE-2026-47627はベクタが C:H/I:H/A:H（機密性・完全性・可用性がすべて「高」）で9.8ですが、NVIDIAが記載する影響は「サービス拒否」のみです。逆にCVE-2026-47606はベクタが C:L/I:L/A:N と控えめなのに、影響欄には「コード実行、情報漏えい」と書かれています。ベクタと影響欄が噛み合っていません。

なお執筆時点で、NVD（米国国立脆弱性データベース）はCVE-2026-47627に独自の評価を付与しておらず、表示されているのは採番機関であるNVIDIA自身のスコアです。第三者による再評価はまだ入っていない状態と理解しておくのが妥当です。

どちらが実態に近いかを外から断定はできません。ただ実務上の結論は明確で、スコアの大小ではなく「その資産が何を持っているか」で優先度を決めるべきだということです。推論サーバはモデルファイル（学習データや業務ノウハウの塊であることが多い）を保持し、業務システムから叩かれる位置にあります。パストラバーサルでモデルリポジトリ外のファイルを読み書きされ得るという性質を踏まえれば、影響欄が「サービス拒否」だけだからと後回しにする理由はありません。

自社に該当するか、どう確認するか

Tritonはコンテナで動くため、資産管理ツールのソフトウェア一覧には出ません。次の順で見るのが早いです。

1. 動いているコンテナを直接見る

GPUサーバ上で、イメージ名に tritonserver を含むコンテナを探します。Kubernetes上ならPodのイメージ名を横断で確認します。タグ（26.05-py3 など）がそのままバージョンなので、26.05以前なら該当します。

2. ポートと応答で探す

Tritonの既定ポートはHTTPが8000番、gRPCが8001番、メトリクスが8002番です。社内ネットワークのスキャン結果に8000〜8002番が並んで開いているホストがあれば、http://<ホスト>:8000/v2/health/ready への応答で当たりが付きます。Triton固有の /v2 系APIが応答すれば、ほぼ確定と考えてよいでしょう。

3. 誰が立てたのか、どこから届くのかを確認する

該当が見つかった場合、次に効くのは技術的な確認ではなく「そのサーバは誰の持ち物で、どこから到達できるか」の確認です。上位3件がいずれも認証不要でネットワーク経由という性質上、露出範囲がそのままリスクの大きさになります。すぐに更新できない事情があるなら、到達できる範囲を絞るのが先です。

現場目線の課題

正直なところ、この種の資産は情シスにとって最も見えにくい部類です。稟議を通って導入された業務パッケージなら台帳に載りますが、事業部門がPoCで立てたGPUサーバは、成果が出た途端に「そのまま本番」になりがちで、その過程で情シスに相談が来るとは限りません。相談が来ていないものは、当然ながら棚卸しの対象にもなりません。

加えてAI基盤は更新が速く、月次でコンテナタグが増えていきます。「毎月上げる」も「固定する」もそれぞれ合理性があり、正解は運用体制によって変わります。ただし固定を選ぶなら、ベンダーのセキュリティ速報ページを直接ウォッチする担当と頻度を決めておくことが最低条件になります。今回のように、公表を待っていては数週間から数か月遅れるからです。

同種の構図は、他のAI基盤ソフトウェアでも繰り返し起きています。当サイトでもNVIDIA Dynamoの脆弱性15件、SGLangの未修正RCE、NeMoの深刻な脆弱性、Rayの脆弱性の悪用を取り上げてきました。製品名は違っても、読者が取るべき一手目は毎回同じで「所在の把握」です。

情シスはどうすべきか

個別のチェックリストを並べるより、公的機関の指針に沿って土台を作るほうが確実です。

• 中小企業の情報セキュリティ対策ガイドライン（IPA）：情報資産の洗い出しと管理台帳の作り方が具体例つきで示されています。「部門が立てたサーバをどう台帳に載せるか」という今回の課題に直接効きます。
• 脆弱性対策（IPA）：脆弱性情報の収集と対応プロセスの整備について、公的な整理が参照できます。
• セキュリティインシデント対応 机上演習教材（IPA）：「情シスが把握していないサーバが侵害された」というシナリオは、机上演習の題材として現実味があります。

あわせて、地道ではありますが事業部門への働きかけが効きます。「新しくサーバを立てたら情シスに一報を」という呼びかけを、AI活用の推進とセットで繰り返すことです。禁止ではなく登録を求める形にすると、現場の抵抗が小さくなります。

まとめ

1. NVIDIAは2026年8月18日、Triton Inference Serverの脆弱性5件を公表しました。最大はCVSS9.8のパストラバーサル（CVE-2026-47627）で、対象はLinux版0.0〜26.05、修正版は26.06以降です。
2. 修正版26.06は公表の約7週間前（2026年6月26日）に公開済みでした。Tritonでは「修正が先、公表が後」が繰り返されており、バージョンを固定した環境ほど、該当していることに気づけない期間が長くなります。
3. Tritonはコンテナで動くためソフトウェア一覧に出ません。既定ポート8000〜8002と /v2/health/ready への応答、そして稼働中コンテナのイメージタグで、まず所在を確認してください。

出典

• NVIDIA Product Security — Security Bulletin: NVIDIA Triton Inference Server（Bulletin 5865、2026年8月18日）
• 同 Bulletin 5853（2026年7月14日） ／ Bulletin 5860（2026年8月4日）
• NVD — CVE-2026-47627
• Triton Inference Server リリース履歴（GitHub）
• NVIDIA Triton Inference Server 公式ドキュメント
• NVIDIA — Triton Inference Server 製品ページ（連携プラットフォーム一覧）
• Security NEXT：「NVIDIA Triton Inference Server」に深刻な脆弱性 – 修正版を公開