何が起きたか
VulnCheckが（2026-10-16に）SGLangのデバッグダンパーフィルター評価におけるCWE-95コードインジェクションを開示した。ダンパーサーバーが有効な場合、エンドポイントは認証なしであり、注入されたPythonはHTTPハンドラー内ではなくスケジューラープロセス（フォワードパスを提供するモデルを所有するプロセス）で爆発するため、ペイロードはサービングエンジンの完全な権限で着地する。CISA SSVCは悪用可能性=poc、技術的影響=totalとマークしている（NVD RESTで検証済み）。
なぜ重要か
これは広く展開されているLLM推論エンジンの制御プレーン内での認証なしリモートコード実行である。侵害されたスケジューラーは、モデルの重み、APIキー、テナントのリクエストデータを読み取り、生成出力を改ざんし、永続化のためにサービングプロセスを乗っ取ることができる—LLMサービングクラスターを攻撃者の足場に変える。遅延爆発設計（次のフォワードパスで実行）により、悪用の属性特定も困難になっている。
攻撃経路
/dumper/configureエンドポイントに到達できる認証なしの攻撃者は、細工されたフィルター式を送信する。_evaluate_filter()はそれをeval()で評価する。式はre.search.__globals__を介してエスケープし__builtins__に到達し、モデル推論を駆動するスケジューラープロセス内の次のフォワードパスで任意のPythonを実行する。ダンパーサーバーはDUMPER_SERVER_PORTが設定されている場合のみ有効になる（したがってCVSS攻撃複雑性:高/8.1 v3.1、9.2 v4.0）。
影響を受けるシステム
SGLang 0.5.10から0.5.22まで（python/sglang/srt/debug_utils/dumper.py）
緩和策
明示的に必要でない限りデバッグダンパーを無効にし、/dumper/configureをネットワークに絶対に公開しないこと。DUMPER_SERVER_PORTを設定したデプロイメントを監査すること。パッチの状況については上流の issue #44188 と GHSA-vfgj-p7f7-r3v8 を追跡すること（検証時点では公開されたパッチなし）。VulnCheck勧告：https://www.vulncheck.com/advisories/sglang-0.5.10-through-0.5.22-code-injection-via-debug-dumper-filter