何が起きたか
vLLMのOpenAIServingはHTTPのX-Request-Idヘッダーをそのままrequest_idにコピーし、P2pNcclConnector.parse_request_idは、許可リスト、スキームチェック、IPリテラルブロックのない寛容な正規表現でそこから任意のhost:portを抽出します。API呼び出し元はヘッダーにデコードアドレスを埋め込むことで、コネクタを実行しているプレフィルワーカーに攻撃者ホストへの外部ZMQ接続を強制し、NCCLコミュニケータのunique_idを共有させ、その後、対象リクエストのKVキャッシュを攻撃者にncclSendさせることができます。
なぜ重要か
HTTPヘッダーだけを使用して、プレフィルワーカーに到達できる呼び出し元（有効なAPIキーを持っているか、--api-keyが未設定の場合はキー不要）は、そのワーカーが処理する任意のリクエストの完全なKVキャッシュ（プロンプトテキストとプレフィックスキャッシュされた隠れ状態）を外部に持ち出すことができ、さらに応答しないホストでワーカーをブロックしてサービス拒否を引き起こすこともできます。CVE-2026-116176、CVSS 8.2、CWE-918。
攻撃経路
攻撃者が制御するhost:portを含むX-Request-Idを設定した/v1/completionsまたは/v1/chat/completionsリクエストを作成します。プレフィルワーカーが外部に接続し、KVキャッシュテンソルが漏洩します。
影響を受けるシステム
P2pNcclConnectorを実行している場合のvLLM 0.9.2以上、0.24.0未満（--kv-transfer-configにP2pNcclConnectorを指定する必要があります）。
緩和策
vLLM 0.24.0にアップグレードしてください（PR #44854で影響を受けるコネクタが削除されました）。また、P2pNcclConnectorがアクティブな間はX-Request-IdをランダムなUUIDに置き換え、コネクタのremote_addressをオペレーターが設定したCIDR許可リストに対して検証してください。