CVE-2026-45317 Open WebUIのCSRF脆弱性による認証バイパスと悪用リスク AI Security対策ガイド

結論

• 危険度: Medium (CVSS 4.6)
• 対象: open-webui <= 0.9.2
• 修正: 0.9.3
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-05-15 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-45317は、open-webuiというオフライン対応AIプラットフォームの画像アップロード機能で、攻撃者が悪意ある画像URLを設定し認証済みユーザーの権限で不正操作できます。LLMゲートウェイ運用者にとって対応優先度は中程度ですが注意が必要です。

やさしく説明すると

この脆弱性は、誰かが悪いURLを画像の場所に登録できてしまう状態です。たとえば、SNSのプロフィール画像に見えない合鍵を仕込まれるようなものです。ユーザーがその画像を見ただけで攻撃者のサイトにアクセスさせられ、不正な操作や情報の一部が盗まれます。被害拡大を防ぐために早めの対応が必要です。

技術的な原因

この問題はCSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）脆弱性です。CSRFは攻撃者がユーザーの認証情報を悪用して、本来の意思に反して不正なリクエストを送信させる攻撃手法です。今回のケースは、画像アップロード機能でURL操作に対する適切な検証不足（CWE-20: 入力検証不備）とCSRF対策欠如（CWE-352: クロスサイトリクエストフォージェリ）によるものです。

影響を受けると何が困るか

• 認証済みユーザーの権限を攻撃者が不正に利用できる
• 攻撃者によるCookie盗難やセッション乗っ取りリスク
• サービスの一時的な利用不能（DoS：サービス拒否攻撃）を発生させられる
• LLMゲートウェイやAPIの操作不能や誤動作に繋がる
• AI駆動開発ツール（Cursor、Clineなど）利用中の情報漏えいリスク
• 運用中のAgenticフレームワークにおける乗っ取りや悪用の足がかりになる可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは 4.6（Medium）。悪用難易度は低いがユーザ操作が必要なので中程度のリスク。
• EPSS（悪用予測スコア）は未提供。現時点で悪用観測や公開PoCはありません。
• ランサムウェアによる悪用情報は不明。観測されていません。
• 攻撃はネットワーク経由で可能、認証済みユーザーが対象。ユーザー操作が必須。
• デフォルト設定で脆弱であり、CSRF対策が不十分な環境は影響を受けます。

誰が動くべきか

• open-webuiを利用または運用しているAI Gatewayチーム
• Agentフレームワークを拡張・運用する開発者
• バイブコーダー開発者、Cursor/Cline/GitHub CopilotなどAI駆動開発ツール利用者
• LLM ProxyやMCP Serverを運用するSRE/SecOpsチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.9.2
Summary: Open WebUI AI platform
...

判定: Version が 0.9.2 以下なら脆弱、0.9.3 以上で安全

Python (pip list)

pip list | grep open-webui

出力例:

open-webui           0.9.2

判定: バージョンが 0.9.2 以下なら危険

設定確認

この脆弱性はCSRF対策不足に起因しますが、open-webuiの設定上CSRFを保護する仕組みは必須設定です。設定依存ではなく、対象バージョンなら脆弱と見なしてください。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade open-webui==0.9.3

判定: コマンドが正常に完了すれば修正バージョンが適用されます。

注意: パッチ適用前に必ず現行環境のバックアップを取得してください。ステージング環境での動作確認も推奨します。本番環境でのダウンタイム計画を立ててから実施してください。

パッチ即時適用ができない場合の暫定対応

公式による暫定回避策は現時点で公開されていません。緊急時はネットワークレベルで該当APIへの外部アクセス制限やCSRF対策機能の強化を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で紹介したバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.9.3
Summary: Open WebUI AI platform
...

判定: バージョンが 0.9.3 以上なら安全です。

追加で確認すべきこと

修正後はサーバログに異常な画像アクセスや外部リクエストが含まれていないか監視してください。公開Nucleiテンプレートはありませんが、アップデート作業後の動作検証を怠らないことが重要です。

補足: 悪用観測状況

現時点でこのCVEに関する悪用の報告や公開PoC（Proof of Concept：概念実証）コードはありません。CISA KEVにも未登録で、ランサムウェアグループの悪用も確認されていません。とはいえ、認証済みユーザーを標的にする容易な攻撃手段であるため、検知・対応は急務です。

補足: CVSSメトリクス詳細

• AV（攻撃元の範囲）: NETWORK（ネットワーク経由）
• AC（攻撃の複雑さ）: LOW（攻撃は比較的簡単）
• PR（必要な権限）: LOW（認証ユーザーで良い）
• UI（ユーザー操作）: REQUIRED（被害者の操作が必要）
• S（スコープ）: UNCHANGED（権限範囲は変わらず）
• C（機密性影響）: LOW（情報の一部が漏れる可能性）
• I（完全性影響）: NONE（改竄は起こらない）
• A（可用性影響）: LOW（サービスの妨害が可能）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で環境のバージョン確認を実施し、脆弱なバージョンならSTEP 4で0.9.3へアップデートしてください。最後にSTEP 5で適用確認を行いましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式に暫定対応はありませんが、ネットワーク外部からのAPIアクセス制限やCSRFトークン設定強化を検討してください。早急な対応を計画してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. サーバログで不審な外部URLへのGETリクエストや、画像アップロード周辺の異常操作ログを監視してください。現時点でIOCは公開されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方参照することで優先順位を正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CSRFや入力検証不足による脆弱性は他のWebUIやAI Gateway製品でも報告されています。CWE-20、CWE-352は共通の弱点分類で注視してください。

参考文献

• NVD: CVE-2026-45317
• GitHub Advisory: Open WebUI CSRF Vulnerability
• GitHub Advisory Database検索
• JVN iPedia検索

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• CSRF に関するCVE・脆弱性記事一覧
• DoS に関するCVE・脆弱性記事一覧
• AI UI に関するCVE・脆弱性記事一覧