CISAがRayの重大な脆弱性をKEVに追加：ブラウザ経由のRCE（FirefoxとSafari）。修正はRay 2.52.0

2026年8月17日、米CISAはCVE-2025-62593をKnown Exploited Vulnerabilities Catalogに追加した。公式フィードではcatalogVersion 2026.08.19としてこの項目が確認できる。KEVの項目では「Ray-Project Ray Code Injection Vulnerability」と分類され、次のように説明されている: "Ray-Project Ray contains a code injection vulnerability that could allow remote code execution. Developers using Ray as a development tool may be exposed to this vulnerability exploitable through Firefox and Safari." 連邦民間機関の是正期限は2026年8月20日、つまり追加からわずか3日で、要求される対応は指令BOD 26-04およびフォレンジック・トリアージの要件に沿ったものとされている（CISA KEV）。

NVDはCVSS 4.0で9.4（CRITICAL）、3.1で8.8（HIGH）を付与し、弱点はCWE-94とCWE-352。knownRansomwareCampaignUseの項目は"Unknown"となっている（NVD、CISA KEV）。影響を受けるのは2.52.0より前のRayで、2.52.0以降で修正済み（アドバイザリGHSA-q279-jhrf-cc6v）。

攻撃の仕組み。プロジェクトのアドバイザリによれば、RayはUser-Agentヘッダーが"Mozilla"で始まるかを確認することでブラウザからのリクエストを遮断しようとしていた — "This heuristic is very weak"。FirefoxとSafariはfetch APIでこのヘッダーを変更できる。Chromeは仕様から外れた実装のため影響を受けない（アドバイザリGHSA-q279-jhrf-cc6v）。この回避をDNSリバインディング攻撃と組み合わせると、開発者が訪れた悪意あるサイトや広告が、ローカルインスタンス（通常は"ray start --head"で起動）の認証なしエンドポイント/api/jobs/および/api/job_agent/jobs/にジョブを送り込み、任意のシェルコマンドを実行できる（アドバイザリ）。トークン認証は用意されているが既定では無効。ブラウザは内部ネットワークからしか到達できないインスタンスへの踏み台にもなりうる（アドバイザリ）。

背景と影響。RayはAIインフラで広く使われているオープンソースの分散計算エンジンで、GPUクラスタでの学習・推論にも開発マシンでも使われている。KEVへの追加は新しい脆弱性の登場を意味しない — CVEは2025年11月26日から公開され、2026年8月18日に更新されている — が、実証的なエクスプロイトから実際の攻撃での悪用へ移行したことを示す（CISA KEV、NVD）。KEVの項目は、リポジトリray-project/rayの修正コミット70e7c72780bdec075dba6cad1afe0832772bfe09も参照している（CISA KEV、アドバイザリGHSA-q279-jhrf-cc6v）。

わかっていること、わかっていないこと。CISAは追加の根拠となった事案について、指標も被害者も攻撃者の特定も公表していない。悪用の事実は示すが、その規模は示さない。専門メディアはセキュリティ企業が記録したキャンペーンに言及している。2025年11月、Oligo Securityは"ShadowRay 2.0"を報告した。同社のレポートによれば、露出したRayクラスタがGPUでの暗号資産マイニングを行う自己増殖型ボットネットに変えられ、データや認証情報の窃取、DDoS攻撃の事例もあった。同レポートはインターネット上に20万台以上のRayサーバーが露出していると述べている — 露出であって、必ずしも侵害されたわけではない。ただしこのレポートが第一に挙げるのは別の、より古いCVE（CVE-2023-48022）であり、CVE-2025-62593との具体的な関連はCISAによって確認されていない（Oligo Security、CISA KEV）。2.52.0未満の導入がどれだけ残っているか、トークン認証を有効にした組織がどれだけあるかも不明だ。公式の緩和策はRay 2.52.0以降への更新とトークン認証の有効化（アドバイザリGHSA-q279-jhrf-cc6v）。

いちばん印象的なのは経路そのもの、つまり開発者のブラウザがローカルツールへの橋になる点だ。実務的な確認事項として、開発者のノートPCも重要インフラとして扱うこと、認証のない機微なエンドポイントを置かないこと、すぐにパッチを当てること。ここでのコード実行は公開サーバーからではなく、`ray start --head`が動いているターミナルの隣のタブで開かれたページ — あるいは広告 — からやって来るのだから。