CVE-2026-59225 Open WebUI認証回避脆弱性で非管理者がモデルアクセス可能に AI Security担当者必読対策解説

結論

• 危険度: Medium (CVSS 5.4)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-09 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-59225はOpen WebUI（自己ホスト型AIプラットフォーム）で、認証済みの非管理者ユーザーが本来アクセス禁止の内部モデルにアクセスできる問題です。つまり、LLMゲートウェイ運用者にとって重要な優先修正対象です。

やさしく説明すると

この脆弱性は、まるで「玄関の鍵はかかっているが、勝手に裏口から家に入る抜け道がある」ようなものです。認証されている一般利用者は本来使えない部屋に自由に入れてしまいます。AIモデルの一部を隠すはずが、隠しきれておらず運用上の安全性が損なわれています。

技術的な原因

この問題はCWE-862（欠落した認可）に分類されます。認証（ユーザー確認）は通っても、権限の確認（認可）が特定のAPIパスで正しく行われませんでした。具体的には、タスク用APIでは wrapper モデルのアクセスチェック後にサブモデルのアクセス制御をスキップする不適切な再帰処理がありました。

影響を受けると何が困るか

• 認証したユーザーが許可されていないAIモデルを使えるため、内部情報やAPIキー漏洩のリスク
• LLMコンテキスト窃取により顧客データなどの機密情報漏えい
• プロンプトインジェクションを悪用しエージェント乗っ取りの踏み台にされる危険
• テナント間の情報漏洩やモデル利用の不正拡大が起こる可能性
• AIコーディングツールやAgentフレームワーク運用環境での侵害拡大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは5.4でMedium（中程度）の深刻度。実務的には本番環境での速やかな対応が望ましいが緊急ではない。
• EPSSスコアは未提供。現時点で公式な悪用観測は確認されていないため、切迫した危機感は低い。
• ランサムウェアによる悪用は不明。報告なし。
• 公開PoCやエクスプロイトは存在しない。現段階で攻撃が武器化されている証拠はない。
• 攻撃は認証済み非管理者ユーザーから可能で、ネットワーク経由で実行でき、複雑度は低い。

誰が動くべきか

• Open WebUIを検証または本番運用しているLLM Gateway運用チーム
• Agentフレームワーク開発者（本脆弱性のサブモデル管理影響を受ける可能性）
• バイブコーダー開発者（Cursor/Cline/Aider/GitHub CopilotなどのAI駆動開発環境でOpen WebUIを組み込む場合）
• AIセキュリティチーム、SecOpsチームで脆弱性管理の責任者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / macOS（pip）

pip show open-webui

出力例:

Name: open-webui
Version: 0.9.5
Summary: Open WebUI is an extensible and user-friendly self-hosted AI platform
...

判定: Version が 0.8.12以上かつ 0.10.0未満なら脆弱、それ以外は安全

Linux / macOS（pip list + grep）

pip list | grep open-webui

出力例:

open-webui 0.9.2

判定: バージョンにより同上

設定確認

本脆弱性は設定依存ではありません。バージョンが脆弱範囲なら必ず影響があります。設定変更だけの緩和策はありません。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートは存在しません。検出はバージョン確認が確実です。

STEP 4: 修正を適用する

パッチ適用

Linux / macOS（pipアップグレード）

pip install --upgrade open-webui

出力例:

Successfully installed open-webui-0.10.0

判定: 0.10.0以上なら修正済み

注意: パッチ適用前に必ず現在の環境バックアップを取り、ステージング環境で動作確認してください。本番でのダウンタイム計画も立てましょう。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応策は提示されていません。できるだけ早く 0.10.0 以降へのアップグレードを推奨します。

STEP 5: 修正されたことを確認する

STEP 3 で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Linux / macOS（pip show）

pip show open-webui

出力例:

Name: open-webui
Version: 0.10.0
Summary: Open WebUI is an extensible and user-friendly self-hosted AI platform
...

判定: バージョンが 0.10.0 以上ならOK

追加で確認すべきこと

公開Nucleiテンプレートはありませんが、独自監査ツールで不正アクセスログの有無を調査してください。怪しい動作や許可されていないモデル参照のログがないか確認することが望ましいです。

補足: 悪用観測状況

2026年7月時点で、本脆弱性に関するランサムウェア悪用の報告はありません。公開PoCコードやExploitコードも存在しません。攻撃が外部に広く武器化されている証拠は今のところありません。

補足: CVSSメトリクス詳細

• AV（攻撃元）: NETWORK（ネットワーク経由で攻撃可能）
• AC（攻撃複雑度）: LOW（攻撃手順は単純で容易）
• PR（必要権限）: LOW（低い権限で攻撃可能）
• UI（ユーザ操作）: NONE（ユーザの追加操作不要）
• S（スコープ）: UNCHANGED（影響範囲は同一スコープ内）
• C（機密性影響）: LOW（一部情報漏洩の可能性あり）
• I（完全性影響）: NONE（データ改ざん影響なし）
• A（可用性影響）: LOW（サービス障害の軽微な可能性）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. 最低限STEP 3のバージョン確認をして、該当ならSTEP 4で 0.10.0 以降にアップグレードし、STEP 5で適用確認を行ってください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありません。ネットワーク隔離・アクセス制御強化などでリスクを下げつつ、できる限り早期にアップグレードしてください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーの公式アドバイザリにIOCがないため、システムログやアクセスログで不審なモデルアクセスがないかを重点的に監視してください。

Q. なぜEPSSスコアが重要なのですか？

A. EPSSは「実際に悪用される確率」を示します。CVSSは深刻度評価なので、両方見ることで対応優先度がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-862（欠落した認可）はAI GatewayやAgenticフレームワークで繰り返し発生するテーマです。類似の脆弱性に注意してください。

参考文献

• NVD – CVE-2026-59225詳細
• Open WebUI v0.10.0 リリース
• Open WebUI セキュリティアドバイザリ
• GitHub コミット詳細

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• authz-missing に関するCVE・脆弱性記事一覧
• AI UI に関するCVE・脆弱性記事一覧