【高】CVE-2026-47255 AgenticMailの認証バイパス脆弱性がAIエージェントに実メール流出を招く Agent開発者向け緊急対応

結論

• 危険度: High (CVSS 8.2)
• 対象: @agenticmail/api <= 0.9.31 / @agenticmail/core <= 0.9.9
• 修正: 0.9.32 / 0.9.10
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-20 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-47255はAgenticMailの特定バージョンに存在する脆弱性です。攻撃者は認証なしでAIエージェントに本物のメールアドレスや電話番号を与えられます。これはAI GatewayやAgenticを運用する技術者にとって緊急に対応すべき重要な問題です。

やさしく説明すると

この脆弱性は、「誰でも玄関の鍵なしで入れてしまう」状態に似ています。AIの中のエージェントが、本来与えられてはいけない本物の連絡先情報を簡単に取得できます。たとえば、AIが勝手にメールを送ると、不正利用や情報漏洩につながるリスクがあります。開発者や運用者はAIセキュリティの観点から、早めの対応が必要です。

技術的な原因

この脆弱性の根本は、不適切な入力検証(CWE-20: Improper Input Validation)とSQLインジェクションの脆弱性(CWE-89)にあります。具体的には、無効なエージェントのバインディングやフィルタ処理で検証が甘く、不正なSQL識別子やメタデータアクセスを防げていません。また、不適切な認可チェック(CWE-284)と機密情報の漏洩(CWE-319)、ハードコードされた秘密情報の管理不備(CWE-798)も含まれます。これらが組み合わさって、攻撃者がAIエージェントに実際のメールや電話番号を与えてしまう状況を生み出しています。

影響を受けると何が困るか

• AI GatewayやAgenticフレームワーク上での不正メール送信や不正アクセスが起きる
• AIモデルのコンテキストや顧客データが窃取されるリスク
• プロンプトインジェクション経由でエージェント操作の乗っ取りが発生する
• APIキーや認証情報など秘匿情報が漏洩する恐れがある
• AI駆動開発ツール(Cursor、Cline、Copilotなど)を介した開発環境への影響の可能性
• システムの完全性が損なわれるため、改ざんや請求コスト異常増加につながる

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは8.2でHighに分類。実務的にはすぐ対応すべきが推奨されます。
• EPSS（実際に悪用される確率）スコアは提供されていません。
• ランサムウェアによる悪用は未確認ですが、攻撃しやすい環境であるため警戒が必要です。
• 公開されているPoC（攻撃概念コード）は確認されていません。
• 攻撃はネットワーク経由で可能で、認証やユーザ操作なしで発動できます。
• デフォルト設定のまま脆弱なバージョンを使っていると容易に攻撃を受けます。

誰が動くべきか

• AgenticMailを使うAI Gateway運用チーム
• Agenticフレームワーク開発者・SecOps/SREチーム
• LLM ProxyやAgentic APIを組み込んだサービスの開発者
• Cursor、Cline、GitHub CopilotなどAI駆動開発ツール利用者でAgenticMail連携がある場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Node.js (npm)

npm list @agenticmail/api
npm list @agenticmail/core

出力例:

@agenticmail/api@0.9.31
@agenticmail/core@0.9.9

判定: @agenticmail/apiが 0.9.31 以下、または @agenticmail/coreが 0.9.9 以下なら対象。それ以降のバージョンなら安全。

設定確認

この脆弱性は複数の検証不足と権限管理不備が原因です。設定依存ではなく、対象バージョンであれば原則として脆弱です。設定だけで回避する方法は公式に提示されていません。

Nucleiテンプレートでの検出

現時点で公開されたNucleiテンプレートはありません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Node.js (npm) 環境

npm install @agenticmail/api@0.9.32
npm install @agenticmail/core@0.9.10

判定: コマンドが正常終了し、バージョンが 0.9.32 / 0.9.10 以上になれば脆弱ではありません。

注意: パッチ適用前に必ずバックアップを取得してください。パッチは影響範囲が大きい可能性があるため、テスト環境で十分な検証を行い、本番環境のダウンタイム計画も準備してください。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。パッチが適用できない場合はネットワーク隔離や該当モジュールの利用停止を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で利用したバージョン確認のコマンドを再度実行してバージョンを検証します。

期待される出力

Node.js (npm)

npm list @agenticmail/api
npm list @agenticmail/core

出力例:

@agenticmail/api@0.9.32
@agenticmail/core@0.9.10

判定: バージョンがそれぞれ 0.9.32 / 0.9.10 以上なら対応完了で安全です。

追加で確認すべきこと

公開Nucleiテンプレートはありませんが、独自検証やログ監視で不審なアクセスがないかチェックしてください。修正パッチが反映された状態を常に保つことが望まれます。

補足: 悪用観測状況

CVE-2026-47255の悪用観測は未確認です。GitHubにPoCコードも公開されていません。ランサムウェアなどによる悪用も現時点で報告されていません。ただし攻撃はネットワーク経由で認証不要で可能なため、警戒と迅速な対策が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector: 攻撃元): NETWORK – ネットワーク経由で攻撃が可能
• AC (Attack Complexity: 攻撃複雑度): LOW – 攻撃に特別な条件は不要
• PR (Privileges Required: 必要権限): NONE – 認証不要で攻撃できる
• UI (User Interaction: ユーザ操作): NONE – ユーザ操作は不要
• S (Scope: スコープ): UNCHANGED – 攻撃範囲は変わらない
• C (Confidentiality: 機密性影響): NONE – 機密性の影響はない
• I (Integrity: 完全性影響): HIGH – 完全性は大きく損なわれる
• A (Availability: 可用性影響): LOW – 可用性にはわずかな影響

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分の環境のバージョンを確認し、STEP 4で修正版にアップグレードしてください。具体的なコマンドは本記事に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワーク隔離や該当モジュールの利用停止などの暫定対応を検討してください。公式の暫定対策はまだ提供されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式から侵害指標(IOC)や検出方法は公開されていませんが、ログ監視で不審アクセスや異常なAI動作を割り出すことが重要です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的な深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方を組み合わせることで対応優先度の精度が上がります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じCWE分類（不適切な入力検証や認可不備）に属する脆弱性は、AI GatewayやAgentフレームワークなどで他にも報告される可能性があります。

参考文献

• NVD – CVE-2026-47255
• GitHub Advisory Database – GHSA-wjjv-3mj2-39hf
• パッチコミット例 (agenticmail/api)
• パッチコミット例 (agenticmail/core)

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• SQLインジェクション に関するCVE・脆弱性記事一覧
• hardcoded-cred に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧