CVE-2026-59822 LiteLLMの認証バイパス脆弱性でOAuth2不正利用の危険性 AI Gateway運用者向け実践対策

結論

• 危険度: 情報なし
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-08 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-59822はLiteLLM（AI Gateway）の脆弱性です。攻撃者は偽の認証情報を使い、認証なしで管理APIの一部にアクセスできます。これはLLMゲートウェイを運用する現場にとって最優先で対処すべき問題です。

やさしく説明すると

人気のAI API呼び出し用ゲートウェイ「LiteLLM」で玄関の鍵が壊れているような状態です。悪意ある人が偽の合鍵を作り、誰でも自由に入れる状態になっています。つまり、本来は認証が必要な場所に、その合鍵で入れてしまう状態です。こうした不正アクセスを防ぐには、鍵を直す（パッチを当てる）必要があります。

技術的な原因

この脆弱性はCWE-287 (認証の欠如) とCWE-306 (認証回避)に分類されます。具体的には、LiteLLMのMCP Streamable HTTPエンドポイントで、正当な認証キーの検証に失敗した場合でも、一部のOAuth2パススルーフォールバック処理が働きます。ここで攻撃者が偽のAuthorizationヘッダーを送ると、空のユーザー認証オブジェクトが生成され、本来の認証要求を回避してしまいます。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）が漏洩し、不正利用される
• LLMのコンテキストデータ（顧客情報など）が外部に抜かれる
• エージェント乗っ取りにつながるプロンプトインジェクション攻撃の扉を開ける
• RAGデータやモデルデータの改ざんを許し、信頼性を大きく損なう
• 不正アクセスによる請求コストの急増
• テナント間で情報が漏れ、マルチテナント環境の安全性が脅かされる
• LLM ProxyやAI Gatewayのコア機能が乗っ取られるリスク
• AIコーディングツール（CursorやClineなど）経由の不正なファイル操作やコード実行

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 低

判断根拠

• CVSSスコアは未公開で、現状の危険度判断は不明。ただし認証回避は重要な問題
• EPSSスコア（悪用予測確率）は未提供で、直近の悪用も観測されていない
• ランサムウェアの悪用情報は「Unknown」で確認されていない
• 公開されているPoCやエクスプロイトコードはなし
• 攻撃に必要な条件は「偽のAuthorizationヘッダーをAPIへ送信できるネットワークアクセス」が必要
• LiteLLMの特定MCP Streamable HTTPエンドポイントに限定されるため、ネットワーク分離や認証強化が有効

誰が動くべきか

• LLMゲートウェイ運用チーム（LiteLLMを利用中や検討中のプロジェクト）
• Agentフレームワーク開発者（LangChainやAutoGenなど、LiteLLM経由のAPI呼び出し環境）
• MLインフラチーム（vLLMやTritonなどの連携部分にLiteLLMが存在する場合）
• バイブコーダー開発者（Cursor、Cline、Copilotなど、AI駆動開発中のユーザー）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python環境（pip）

pip show litellm

出力例:

Name: litellm
Version: 1.83.0
Summary: LiteLLM proxy server for LLM APIs
...

判定: 1.83.0 以下なら脆弱。1.84.0 以上なら安全。

Python環境（pip listでgrep）

pip list | grep litellm

出力例:

litellm                        1.83.0

判定: バージョンが 1.84.0 未満は脆弱。

設定確認

この脆弱性は特定の認証検証ロジックの欠如が原因で、設定だけで回避できません。バージョンが1.84.0以上であることが必須です。設定変更による暫定対応は提供されていません。

Nucleiテンプレートでの検出

現時点では公開されたNucleiテンプレートはありません。検出は必ずバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Python環境（pip）

pip install -U litellm

出力例:

Collecting litellm
  Downloading litellm-1.84.0-py3-none-any.whl (XX kB)
Installing collected packages: litellm
Successfully installed litellm-1.84.0

判定: 最新版 1.84.0 がインストールされればOK。

注意: アップグレード前に必ずバックアップを取得し、ステージング環境で動作確認を行ってください。本番環境のサービス停止計画も事前に立てましょう。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。暫定的には、対象のHTTPエンドポイントへのネットワークアクセスを制限してください。WAFで該当のAuthorizationヘッダー不正利用を検知・遮断するルールの追加も検討してください。

STEP 5: 修正されたことを確認する

STEP 3で紹介したバージョン確認コマンドを、修正適用後に再度実行してください。

期待される出力

Python環境（pip show）

pip show litellm

出力例:

Name: litellm
Version: 1.84.0
Summary: LiteLLM proxy server for LLM APIs
...

判定: バージョンが 1.84.0 以上ならOK。

追加で確認すべきこと

Nucleiテンプレートが公開された場合はアップデート後に再スキャンしてください。ログに不審な認証ヘッダーのアクセス記録がないか監視することも推奨します。

補足: 悪用観測状況

2026年7月現在、CISA KEVカタログでは本CVEのランサムウェアなどによる悪用は報告されていません。また、GitHub上のPoCリポジトリや公開エクスプロイトも確認されていません。現時点では実際の攻撃観測例はありませんが、認証回避の深刻度から速やかな対応が望まれます。

補足: CVSSメトリクス詳細

• AV（攻撃元の場所）: 不明（ネットワーク経由と想定）
• AC（攻撃の難易度）: 不明（偽のヘッダー送信が必要）
• PR（攻撃に必要な権限）: なし（未認証から実行可能）
• UI（ユーザーの関与）: なし（自動攻撃可能）
• S（スコープ）: なし（LiteLLM内部での権限）
• C（機密性への影響）: 高（APIキーやデータ漏洩の可能性）
• I（完全性への影響）: 高（データ改ざん、操作）
• A（可用性への影響）: 低（直接影響なしの可能性）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象バージョンか確認し、STEP 4で1.84.0以上にアップデートしてください。コマンドは本記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. STEP 4の暫定対応として、対象HTTPエンドポイントへのアクセス制限やWAFルールで不正なAuthorizationヘッダーを遮断してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログに通常とは異なるAuthorizationヘッダーの有無を監視してください。ベンダーのIOCが公開され次第、速やかに確認することを推奨します。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的な深刻度を示しますが、EPSSは実際に公に悪用される可能性を示します。両方確認することで対応の優先順位をより正確に決められます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-287（認証の欠如）やCWE-306（認証回避）は多くのサービスで見られる問題で、他のAI GatewayやLLM Proxyでも類似の問題が起きる可能性があります。常に認証処理の完全性を検証してください。

参考文献

• NVD: CVE-2026-59822
• LiteLLM v1.84.0 リリース
• GitHub Security Advisory
• 脆弱性修正コミット

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• 認証バイパス に関するCVE・脆弱性記事一覧
• LLM に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧
• AI Gateway に関するCVE・脆弱性記事一覧