SGLangプロジェクト、大規模AIモデルのサービング用フレームワークに3つの重大な脆弱性が特定されました。これらの脆弱性のうち2つはリモートコード実行（RCE）を可能にし、3つ目はパス・トラバーサル脆弱性です。悪用にはマルチモーダル生成モードが有効になっていることと、攻撃者がSGLangサービスへのネットワークアクセスを持っていることが必要です。現在、これらの問題に対するパッチは利用できません。プロジェクトのメンテナーは、調整プロセス中に応答を提供しませんでした。CVE-2026-7301は、マルチモーダル生成ランタイムスケジューラ内のpickle.loads()シンクを悪用し、公開されている場合にRCEを可能にします。この脆弱性はデフォルトで全てのネットワークインターフェースにバインドされるため、アクセス可能です。CVE-2026-7302は、マルチモーダル生成ランタイムにおけるパス・トラバーサルを介した任意のファイル書き込みを許可します。攻撃者は、ディレクトリ・トラバーサルシーケンスを含むアップロードファイル名を操作することでこれを達成できます。CVE-2026-7304は、カスタムロジットプロセッサが有効になっている場合に、dill.loads()を介したPythonオブジェクトの認証されていないデシリアライゼーションを通じてRCEを可能にします。悪用された場合、これらの脆弱性はSGLangホスト上でのリモートコード実行または任意のファイル書き込みにつながる可能性があります。最も高いリスクは、影響を受けるインターフェースを信頼できないネットワークに公開しているデプロイメントにあります。パッチがリリースされるまで、ユーザーはサービスへのアクセスを制限し、信頼できないネットワークに公開しないようにする必要があります。