【重大】CVE-2026-42271 BerriAI LiteLLM コマンドインジェクション脆弱性解説とAI Security対策手順

結論

• 危険度: High (CVSS 8.8)
• 対象: litellm >= 1.74.2, < 1.83.7
• 修正: 1.83.7
• KEV: Yes (CISA悪用観測カタログ登録済 2026-06-08)

最終更新: 2026-07-12 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-42271はLiteLLMに存在する脆弱性で、認証ユーザーが不正に任意コマンドを実行できます。認証に成功した低権限ユーザーでも攻撃可能であり、LLMゲートウェイの運用者にとって最優先で対応すべき危険な欠陥です。

やさしく説明すると

LiteLLMは大きなAIモデル（LLM）を呼び出すための代理サーバー（AI Gateway）です。そこに「玄関の管理画面」のようなAPIがありますが、そこが鍵や役割のチェックが甘いため、低い権限でも「合言葉」を持っていれば玄関の中に入り込み、勝手にコマンドを走らせられます。例えば、玄関に置いてあるリモコンで何でも動かせてしまうような状態です。そうなると、サーバーの中に侵入され、重要な情報が盗まれたり操作されたりする危険があります。

技術的な原因

この脆弱性はCWE-77（コマンドインジェクション）およびCWE-78（OSコマンドインジェクション）に該当します。LiteLLMの特定APIが、ユーザーから送信されたコマンドや引数（args）、環境変数（env）をそのままOSのサブプロセスとして実行していました。しかも、APIは有効なプロキシAPIキーでのみ認証していましたが、権限（ロール）によるアクセス制限がありませんでした。このため、低権限ユーザーでも危険なコマンドが実行できました。

影響を受けると何が困るか

• APIキーの漏洩により、OpenAIやAnthropic等のLLM利用時に悪用される
• 顧客データなどのLLMコンテキストを窃取される
• プロンプトインジェクションを介してAI Agentの乗っ取りが起きる
• モデルやRAG（Retrieval Augmented Generation）データの改ざんリスク
• 予期せぬ請求コスト増加による経済的損失
• 複数テナント間での情報漏洩が生じる可能性
• インフラ全体への横展開攻撃が可能になる恐れ
• CursorやCline、GitHub Copilot等のAIコーディングツール経由でのローカルファイル読み取りや任意コード実行のリスク
• IDE拡張機能のリモート操作を許してしまう
• 開発環境内の環境変数や認証情報(.env等)が漏洩する可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコア8.8（High）で、実務的には「ネットワーク経由の侵入が比較的容易、被害が重大」と判断
• EPSSスコア80.19%（99.6パーセンタイル）で、直近30日での悪用が高確率と予測されている
• ランサムウェア悪用は現時点で不明（Unknown）だが、KEVに登録されているため実際に悪用リスクは顕在
• 公開されたPoCコードやエクスプロイトはまだないが、GitHub AdvisoryやNucleiテンプレートが整備済みで検査は容易
• 攻撃はネットワーク越し、低権限認証ユーザーで可能で、ユーザー操作は不要、APIキーがあれば悪用できる

誰が動くべきか

• LLM Gateway運用チーム（LiteLLMやOpenRouterを運用しているSRE/SecOps）
• AI Agentフレームワーク開発者（LangChain、AutoGen等を使うチーム）
• MLインフラチーム（vLLMやTriton等のLLM周辺基盤を管理）
• RAG（情報検索強化生成）パイプライン保守者
• Notebookサーバ管理者（Jupyter等を使った環境）
• バイブコーダー開発者（Cursor、Cline、Aider、GitHub Copilot、Claude Code等の利用者）
• AIコーディングサンドボックス利用者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show litellm

出力例:

Name: litellm
Version: 1.82.5
Summary: LiteLLM AI Gateway
...

判定: Versionが1.74.2以上かつ1.83.7未満なら脆弱＜対策必須＞

Python (pip)

pip list | grep litellm

出力例:

litellm            1.82.5

判定: 1.74.2 <= バージョン < 1.83.7なら脆弱です

Python (poetry)

poetry show litellm

出力例:

name     : litellm
version  : 1.82.3
description: LiteLLM AI Gateway
...

判定: バージョンが1.74.2以上1.83.7未満なら危険

Docker

docker images | grep litellm

出力例:

berriai/litellm 1.82.5    sha256:xxxxxxxxxxxxxxxxxxx

判定: タグまたはdigestで1.74.2以上1.83.7未満なら脆弱

設定確認

本脆弱性はAPIエンドポイントの権限管理不備が原因です。バージョンが対象範囲ならば設定依存なく脆弱です。設定により回避できる緩和策はありません。

Nucleiテンプレートでの検出

公開されているNucleiテンプレートを使い、非破壊的に検出可能です。

Linux

nuclei -t http/cves/2026/CVE-2026-42271.yaml -u https://your-litellm-host.example.com

出力例:

[light] [http] [CVE-2026-42271] LiteLLM - Command Injection
[info] Testing http://your-litellm-host.example.com/mcp-rest/test/connection
[info] Host is vulnerable to CVE-2026-42271: LiteLLM Command Injection

判定: 脆弱なら検出メッセージが表示されます。検出なければ問題なし。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade litellm==1.83.7

出力例:

Successfully installed litellm-1.83.7

判定: バージョンが1.83.7以上になればパッチ適用済み

Docker

docker pull berriai/litellm:1.83.7

出力例:

1.83.7: Pulling from berriai/litellm
Digest: sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

判定: イメージタグが1.83.7なら修正済み

注意: パッチ適用前に必ずバックアップを取得してください。ステージング環境で動作確認を行い、本番運用での影響範囲を検証してください。ダウンタイム計画を立てて適用しましょう。

パッチ即時適用ができない場合の暫定対応

公式には次の緩和策を提示しています。

• API Gatewayやリバースプロキシで POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list のアクセスをブロックする
• 認証とロール管理を強化し、PROXY_ADMINロールのみがアクセス可能に設定する

これ以外の暫定対応は公式に提示されていません。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行し、修正済みか確認します。

期待される出力

Python (pip)

pip show litellm

出力例:

Name: litellm
Version: 1.83.7
Summary: LiteLLM AI Gateway
...

判定: バージョンが 1.83.7 以上ならOK

Docker

docker images | grep litellm

出力例:

berriai/litellm 1.83.7    sha256:xxxxxxxxxxxxxxxxxxx

判定: タグが 1.83.7 なら安全

追加で確認すべきこと

• Nucleiテンプレートによる再検査を実施し、脆弱性が検出されないか再度確認する
• ログを詳細に監視し、不審なAPI呼び出しやアクセス権限外の操作が行われていないか確認する
• APIキーの漏洩が疑われる場合は速やかにキーのローテーションを実施する

補足: 悪用観測状況

本CVEは2026年6月8日にCISAのKnown Exploited Vulnerabilities Catalogに登録され、実際の悪用が確認されています。現時点で公開PoCは存在せず、GitHub上にもエクスプロイトは公開されていません。ただしEPSSスコアが80%超と非常に高く、近いうちに悪用増加が予測されます。ランサムウェアグループによる悪用は現時点で報告がありません。

補足: CVSSメトリクス詳細

• AV（Attack Vector / 攻撃元）: NETWORK（ネットワーク経由で攻撃可能）
• AC（Attack Complexity / 攻撃複雑度）: LOW（特別な条件なしで攻撃可能）
• PR（Privileges Required / 必要権限）: LOW（低い権限があればよい）
• UI（User Interaction / ユーザー操作）: NONE（利用者の操作は不要）
• S（Scope / スコープ変更）: UNCHANGED（影響範囲は元の権限内）
• C（Confidentiality / 機密性影響）: HIGH（情報漏洩が重大）
• I（Integrity / 完全性影響）: HIGH（データ改ざんが容易）
• A（Availability / 可用性影響）: HIGH（サービス停止の可能性）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で対象バージョンか確認し、STEP 4で速やかにバージョン1.83.7へのアップデートを実施してください。最後にSTEP 5でパッチ適用を確認します。

Q. パッチが適用できない場合、どうすればよいですか？

A. 暫定策としてAPIゲートウェイやリバースプロキシで該当エンドポイントへのPOSTアクセスをブロックし、認証と権限管理を強化してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダー提供のIIOCやログ監視ツールを利用し、不審なAPI呼び出しやコマンド実行痕跡を調査してください。Nucleiテンプレートの検査も有効です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度ですが、EPSSは「実際に悪用される確率」を示します。両方参照することで対応優先度が正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-77、CWE-78に分類されるコマンドインジェクションの類似脆弱性は、LLM関連サービスやAPIゲートウェイで過去にも発見されています。常に権限管理を厳格にすることが重要です。

参考文献

• NVD CVE-2026-42271
• BerriAI LiteLLM 脆弱性アドバイザリ
• LiteLLM パッチリリース v1.83.7
• CISA Known Exploited Vulnerabilities Catalog
• Snyk Vulnerability Database
• OpenCVE

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• BerriAI に関するCVE・脆弱性記事一覧
• LiteLLM に関するCVE・脆弱性記事一覧
• os-cmdi に関するCVE・脆弱性記事一覧
• コマンドインジェクション に関するCVE・脆弱性記事一覧
• LLM に関するCVE・脆弱性記事一覧
• AI Gateway に関するCVE・脆弱性記事一覧
• KEV登録 に関するCVE・脆弱性記事一覧