【高】CVE-2026-61437 PraisonAIにおける動的モジュール読み込み脆弱性によるコードインジェクション┃Agent開発者必読の緊急対策ガイド

結論

• 危険度: High (CVSS 7.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-10 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-61437は、PraisonAIのpipパッケージ「praisonaiagents」1.6.78未満に存在する脆弱性です。攻撃者は特別に細工したワークフローファイルと同じ場所にあるtools.pyを悪用し、認証不要で任意のPythonコードを実行できます。これはLLMゲートウェイやAIエージェント運用者にとって極めて重要な対応項目です。

やさしく説明すると

この問題は、AIの仕事の流れを定義するファイル（ワークフローファイル）に合鍵みたいなものができてしまうイメージです。攻撃者が悪意のあるファイルを同じフォルダに置くと、その合鍵を使って勝手にソフトが動いてしまいます。つまり、誰でも中に侵入できてしまう玄関の鍵が壊れたような状態です。

技術的な原因

原因はCWE-693「不適切なモジュール読み込み」です。PraisonAIのAgentFlow._resolve_pydantic_class関数が、パスにある文字列をもとに隣接するtools.pyファイルをimportlibのexec_moduleで動的に読み込んでいます。この処理はサンドボックスを通さず、PRAISONAI_ALLOW_*_TOOLS環境変数の制御も無視します。結果として、攻撃者がワークフロー文書とtools.pyを制御できると、実行権限を奪い任意コード実行が可能になります。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropic等）の漏洩に繋がる
• LLMの会話コンテキストや顧客データが盗まれる
• エージェントの挙動を乗っ取られ、意図しない操作を実行される
• RAG（情報検索統合）データやモデルの改ざんを許す
• 不正処理で請求コストが急増する恐れ
• テナント間の情報漏洩を引き起こす可能性
• AgenticフレームワークやMCP Server、LLM Proxyなどの運用インフラ全体で影響を拡大させ得る
• バイブコーダーのAIコーディングツール（Cursor, Cline, Copilot等）経由でローカルファイル読み取りやコード実行されるリスク
• IDE拡張機能のリモート操作が可能になる
• .envや認証情報が盗まれてさらなる侵害に繋がる

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1 スコアは 7.8 でHigh評価：攻撃はローカル起点だが簡単に成功し、認証不要でコード実行を許すため極めて危険です。
• EPSSスコアは未提供：悪用予測値は不明です。
• ランサムウェア悪用は確認されていません。
• 公開PoCや攻撃コードは今のところ存在しません。
• 悪用条件はローカルアクセス＋ユーザ操作が必要。初期アクセスを得ている環境では特に注意。
• 環境変数PRAISONAI_ALLOW_*_TOOLSの制御を無視するため、設定による防御は不安定。

誰が動くべきか

• LLM Gatewayやワークフローエンジンを運用しているチーム（例: LiteLLM、OpenRouterなど）
• AgenticフレームワークやWorkflowManagerを使うAI運用者
• MLインフラ担当者およびRAGパイプライン保守者
• バイブコーダー利用者（Cursor、Cline、GitHub Copilot、Claude Codeなど）でPraisonAIを依存する場合
• AIコーディングサンドボックス開発・運用者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show praisonaiagents

出力例:

Name: praisonaiagents
Version: 1.6.75
Summary: PraisonAI agents package
Home-page: https://github.com/MervinPraison/PraisonAI

判定: Versionが1.6.77以下なら脆弱、1.6.78以上は安全

Python (pip list + grep)

pip list | grep praisonaiagents

出力例:

praisonaiagents          1.6.75

判定: 出力が表示されない場合は未導入。バージョンが 1.6.77以下なら脆弱。

設定確認

この脆弱性はPRAISONAI_ALLOW_*_TOOLS環境変数の制御を無視し、実質設定依存ではありません。したがってバージョンが対象範囲内であれば脆弱です。

検出ツール

公開されているNucleiテンプレートはありません。バージョン確認による判定を推奨します。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade praisonaiagents

判定: バージョンが 1.6.78 以上になれば修正済みです。

注意: アップグレード前に必ず環境のバックアップを取得してください。可能ならステージング環境で動作確認を実施し、本番環境では影響が最小限のタイミングで展開しましょう。

パッチ即時適用ができない場合の暫定対応

ベンダー公式からの暫定対応は提示されていません。可能なら、外部からのローカルアクセスやユーザ操作権限の制限、ネットワーク分離などで攻撃リスクを低減してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドをもう一度実行し、修正版への更新を確認してください。

期待される出力

Python (pip)

pip show praisonaiagents

出力例:

Name: praisonaiagents
Version: 1.6.78
Summary: PraisonAI agents package
Home-page: https://github.com/MervinPraison/PraisonAI

判定: バージョンが 1.6.78 以上ならOK

追加で確認すべきこと

修正後は脆弱性の再確認としてバージョンチェックを必ず行いましょう。ログに不審なアクセスや挙動がないか監視し続けることも重要です。

補足: 悪用観測状況

現時点でCVE-2026-61437のランサムウェア悪用や攻撃コードの公開は確認されていません。GitHub上にPoCコードも存在しないため、悪用はまだ広がっていません。

ただし脆弱性の性質上、初期アクセスを持つ攻撃者には重大なリスクがあるため、早めの対応が推奨されます。

補足: CVSSメトリクス詳細

• AV（攻撃元）: Local（ローカル）- 攻撃者はシステムのローカルアクセスを必要とする
• AC（攻撃複雑度）: Low（低い）- 攻撃は単純で成功しやすい
• PR（必要権限）: None（不要）- 権限なしで攻撃可能
• UI（ユーザ操作）: Required（必要）- ユーザの操作が必要
• S（スコープ）: Unchanged（変更なし）- 攻撃範囲は同一権限内に留まる
• C（機密性への影響）: High（高い）- 機密情報の漏洩が起こる
• I（完全性への影響）: High（高い）- データの改ざんが容易
• A（可用性への影響）: High（高い）- サービス停止や妨害が可能

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で自分の環境に対象バージョンがあるか確認し、STEP 4で安全なバージョンへアップデートしてください。詳細なバージョン情報とコマンドは本記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 現時点で公式の暫定対応はありません。可能ならアクセス制限やネットワーク分離など運用面でリスク軽減をしてください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーからはIOC情報はありません。ログ監視で不審なファイル読み込みや外部通信を探し、疑わしい挙動を速やかに調査してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的な危険度を示しますが、EPSSは「実際に悪用される確率」を示します。両方を見ると優先的に対応すべき脆弱性の判断がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-693に分類される不適切な動的モジュールロードの脆弱性は他にもあります。類似の設計欠陥を持つAI/LLM関連フレームワークも注意が必要です。

参考文献

• NVD – CVE-2026-61437
• GitHub Advisory Database GHSA-c6pq-cprj-62fw
• PraisonAI GitHub セキュリティアドバイザリ
• VulnCheck – PraisonAI Remote Code Execution Advisory

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧