Ollamaの新脆弱性と企業の対策

Ollama(オラマ)とは、パソコンや自社サーバー上で大規模言語モデル(LLM)を動かせる人気の無料AI実行ツールです。そのOllamaに2026年5月、APIキーや会話履歴が外部に漏れ出す恐れのある重大な脆弱性「CVE-2026-7482」が公開されました。原因はモデルファイルを読み込む際にメモリの境界外まで読み取ってしまう欠陥で、登録CNA(CVE採番機関)のEchoはCVSSスコア8.8(High)と評価しています。「ローカルで動くAIだから安全」と思っていた方ほど最後まで読んでほしい話です。しかもこの脆弱性、発覚から公表まで数カ月も「見えない」状態で放置されていたというもう一つの問題も抱えています。

Ollamaで実際に何が起きたのか？CVE-2026-7482の中身

結論から言うと、原因はOllamaがGGUF(GPT-Generated Unified Format)というモデルファイルを処理するときの境界チェック漏れです。細工したファイルを送り込むだけで、割り当てられたメモリ領域の外側まで読み取られてしまいます。

セキュリティ企業Cyeraの発見によると、Ollamaはファイル内に書かれたテンソルのサイズ指定を無条件に信用してしまう作りになっていました。そこにたまたま残っていたAPIキーや環境変数、システムプロンプト、さらには他のユーザーの会話の断片までが出力に紛れ込んで漏れ出す可能性があるといいます。攻撃の流れは3段階で、まず細工したGGUFファイルを`/api/create`エンドポイントに送りモデル作成処理を走らせ、境界チェックの甘さでメモリ読み取りをはみ出させ、最後に`/api/push`で外部のレジストリへ情報を持ち出します。エラーもクラッシュも起きないため、気付かないまま情報が抜かれ続けるのが恐ろしいところです。

私が正直驚いたのは、ここからの展開です。Cyeraは修正後にMITREへCVE採番をリクエストしましたが、数カ月にわたり未解決のまま放置されました。その間、この脆弱性はスキャンツールにも脆弱性フィードにも載らず、事実上「存在しないこと」になっていたのです。見かねた登録CNAのEchoが独自に技術検証を行い、CVE-2026-7482として正式に公開したという経緯があります(GitHub Advisory Database)。修正自体はすでにv0.17.1に取り込まれており、リリースは2026年5月4日です(Ollama公式リリースページ)。

現場太郎

CVEが数カ月も出なかったなんて、うちみたいな会社はどうやって気付けばいいんですか…？

よしなか

それがなあ、正直しんどい話やねん。せやから「CVEが出てるかどうか」だけを頼りにせんと、定期的にOllama自体をアップデートする習慣をつけるんが一番早いで。

なぜこの脆弱性はここまで危険なのか（3つの理由）

Echoが指摘する危険性の本質は、「認証なしで公開されやすい」「静かに漏れる」「見つかりにくい」の三重苦が重なったことです。結論としては、パッチを当てるだけでなく公開範囲そのものを見直す必要があるということです。

1つ目は公開範囲の広さです。Ollamaは元々ローカル利用を想定しており認証機能を持ちません。しかしコンテナ運用や複数端末からの利用のためにネットワーク公開されるケースが多く、認証なしAPIがインターネットに露出したインスタンスは推計30万台にのぼるとされています(Echoの技術解説より、ITmedia)。2つ目は「静かに漏れる」性質で、サーバが停止したりエラーを吐いたりしないため運用チームは異常に気付けません。3つ目は前述のCVE採番の遅れで、記録がなければ優先順位付けも脆弱性スキャンもできず、対応そのものが遅れてしまいます。

なお、Ollamaのセキュリティ問題は今回が初めてではありません。2024年には`/api/push`や`CreateModel`ルートを悪用してサーバー内のファイルを列挙できるCVE-2024-39722・CVE-2024-39719が報告されています(Ridge Security調査より)。2026年にはWindows版Ollamaでも、アップデートバイナリの署名検証が欠けており悪意あるコードを継続的に実行され得るCVE-2026-42248が、研究グループStrigaにより報告されました。「ローカルだから安全」という前提そのものを、運用のたびに疑ってかかる必要があります。

企業はどう対策すればいいのか？今すぐできる3ステップ

結論は明快です。最新版へのアップグレード、公開範囲の見直し、そして万一に備えたログ・認証情報の点検、この3つを順番にやれば十分に対処できます。

1. バージョンをv0.17.1以降に上げる。根本原因はここで塞がれています。
2. 自分のインスタンスの公開範囲を確認する。インターネットから到達可能であれば、環境変数OLLAMA_HOSTを127.0.0.1に絞るか、認証プロキシの背後に置きます。具体的な設定手順は以前の記事「Ollamaの安全性は？社内導入の落とし穴と安全設定3ステップ」でも詳しく解説しました。
3. 公開されていた形跡があれば、APIキーのローテーションとログの監査を行う。Echoも、露出していた期間があるなら「漏れていた前提」で動くことを推奨しています。

私自身、検証用のマシンでOllamaを動かすとき、必ず最初にOLLAMA_HOSTの値を確認する癖がついています。一行のコマンドで設定を変えるだけなのに、これをやるかやらないかで結果が全く違う。実際に触ってみると「なんだ、これだけでいいのか」と拍子抜けするくらい簡単です。

現場太郎

バージョンを上げるだけじゃダメで、公開範囲まで見ないといけないのが正直面倒です…。

よしなか

わかるわかる。せやけどな、この棚卸し自体はAIに手伝わせたらええねん。「うちの環境どうなってる?」って聞きながら一緒に確認したら、思てるより10分で終わるで。

ここで一つ考えてほしいことがあります。パッチ適用やアクセス制御の確認は、正直誰がやっても同じ結果を出すべき「面倒な作業」です。こうした定型のセキュリティ点検はAIやチェックリストに任せて、あなたやあなたのチームは、もっと得意なこと・向き合いたい仕事に時間を使うべきだと私は思います。あなたの会社にとっての「得意なこと」は何でしょうか。それを考える時間を増やすために、面倒な監査作業こそ真っ先に自動化・仕組み化してしまいましょう。

まとめ：CVEが出ていない＝安全ではない

今回の一件が教えてくれるのは、「CVEが公開されていないから安全」でも「クラウドじゃないから安全」でもないということです。Ollamaのようなツールを使う以上、バージョン管理と公開範囲の確認は、月次のルーティンとして仕組み化してしまうのが一番ラクです。難しい話に見えますが、やることは3つだけ。今日、あなたの環境のOLLAMA_HOSTを確認するところから始めてみてください。

自社のAI活用ルールや安全な運用体制を社内に定着させたい方は、つむぎや株式会社の研修で学ぶこともできます。Ollamaの運用チェックや社内のAI活用ルールづくりについて相談したい方は、つむぎや株式会社までお気軽にご連絡ください。