【至急】CVE-2026-42208 BerriAI LiteLLMのSQLインジェクション脆弱性による認証情報漏洩リスクとAI Security対策ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: litellm >= 1.81.16, < 1.83.7
• 修正: 1.83.7
• KEV: Yes (CISA悪用観測カタログ登録済 2026-05-08)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-42208はLiteLLMのプロキシサーバでSQLインジェクション（SQL Injection）が発生し、攻撃者は認証なしでデータベースの情報を読み書きできます。LiteLLMを使うLLMゲートウェイ運用者にとって最優先対応すべき危険な脆弱性です。

やさしく説明すると

LiteLLMはAIの大規模言語モデル（LLM）向けのAPIゲートウェイです。この脆弱性は、玄関の鍵に隠しドアがあって、誰でも勝手に開けられるような状態に例えられます。攻撃者は特別なリクエスト（認証情報ヘッダー）を送るだけで、内部の大事なデータベースを読み書きできてしまいます。つまり、管理者が許可していないのに、プロキシの中身を丸見えにされたり、勝手に変更されたりする危険があります。

技術的な原因

この脆弱性はCWE-89（SQL Injection：SQLインジェクション）に分類されます。LiteLLMはAPIキーを検証する際、クエリにユーザーから直接渡された値を文字列連結して埋め込んでいました。これにより、SQL文の構造を攻撃者が組み替える悪用が可能でした。つまり、開発者がパラメータを安全にバインド（別管理）せずにSQL文を組み立てたことが原因です。

影響を受けると何が困るか

• APIキーの漏洩（OpenAIやAnthropicのキー含む）
• LLMゲートウェイのコンテキスト情報（顧客データなど）窃取
• プロキシやAgentの不正操作、乗っ取りにつながる可能性
• モデルやRetrieval-Augmented Generation（RAG）データの改ざん
• 請求コストの異常増加リスク
• テナント間情報漏洩
• インフラ全体への横展開（攻撃範囲拡大）
• CursorやCline、GitHub CopilotなどAIコーディングツール経由のコード改ざんやファイル読み取り
• IDE拡張のリモート操作リスク
• .envファイルや認証情報の漏洩による全体セキュリティリスク増大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【高】

判断根拠

• CVSSスコアは9.8（Critical）、実務的にはほぼ最悪に近いリスクレベル。
• EPSSスコアは86.61%で、直近30日間に悪用される確率は非常に高い。
• ランサムウェア悪用の報告は現在なし。
• 公開PoCやExploitコードは現時点で存在しない。
• 攻撃はネットワーク経由で認証不要かつユーザ操作も不要。管理APIの認証処理で不適切なSQL構築が行われていたため、デフォルト設定で脆弱。

誰が動くべきか

• LiteLLMを本番運用しているLLM Gateway運用者・SRE・SecOpsチーム
• Agentフレームワーク開発者でLiteLLMプロキシを利用している場合
• Cursor・Cline・GitHub Copilot等のAI駆動開発環境でLiteLLM経由APIを使うバイブコーダー開発者
• AI Security担当者でLLM Proxyのセキュリティ管理を行うチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show litellm

出力例:

Name: litellm
Version: 1.83.5
Summary: LiteLLM proxy server

判定: バージョンが 1.81.16 以上 1.83.7 未満なら脆弱。これ未満または >= 1.83.7 なら安全。

Python（pip list grep）

pip list | grep litellm

出力例:

litellm        1.83.5

判定: 1.81.16 以上 1.83.7 未満は脆弱。

設定確認

この脆弱性は設定依存ではありません。対象バージョンを使用している場合は脆弱です。

Nucleiテンプレートでの検出

nuclei -t http/cves/2026/CVE-2026-42208.yaml -u https://your-litellm-proxy.example.com

出力例:

[INF] Using nuclei engine v8.8.3
[CVE-2026-42208] [critical] LiteLLM 1.81.16 to < 1.83.7 contains SQL Injection vulnerability
[INF] Templates Excluded: 0, Included: 1
[INF] Using HTTP Requests: 2
[INF] Scanned Hosts: 1
[INF] Found 1 issue(s) on https://your-litellm-proxy.example.com
[CVE-2026-42208] [critical] LiteLLM SQL Injection vulnerability detected

判定: 脆弱性が検出されたら対応必須です。

STEP 4: 修正を適用する

パッチ適用

Python（pipアップグレード）

pip install -U litellm==1.83.7

出力例:

Successfully installed litellm-1.83.7

判定: 1.83.7 以上が適用されれば脆弱性は修正済みです。

注意: パッチ適用前に本番環境のバックアップを必ず取得してください。影響範囲を確認し、ステージング環境で検証後に切り替えてください。ダウンタイム発生の可能性もありますので計画的に実施してください。

パッチ即時適用ができない場合の暫定対応

ベンダー推奨の暫定策として、LiteLLMの設定ファイル config.yaml の general_settings に disable_error_logs: true を追加してください。これはエラーログの経路を遮断し、脆弱なSQLクエリへの未認証アクセスを防ぎます。

ただしこれは本質的な解決ではなく、一時的な緩和策です。速やかにバージョンアップを実施してください。

STEP 5: 修正されたことを確認する

STEP 3 で実行したバージョン確認コマンドを再度実行します。

期待される出力

Python（pip）

pip show litellm

出力例:

Name: litellm
Version: 1.83.7
Summary: LiteLLM proxy server

判定: バージョンが 1.83.7 以上ならOKです。

Python（pip list grep）

pip list | grep litellm

出力例:

litellm        1.83.7

判定: 1.83.7 以上の表示なら安全です。

追加で確認すべきこと

• Nucleiテンプレートを再度実行し、脆弱性検出がないことを確認してください。
• ログに異常なAuthorizationヘッダーのアクセスがないか監視してください。

補足: 悪用観測状況

現時点でCISA KEV（Known Exploited Vulnerabilities）には登録されていますが、ランサムウェアによる悪用報告はありません。GitHub上のPoC（Proof of Concept）コードも公開されていません。つまり、実世界での悪用は未確認ですが、極めて危険なSQL Injection脆弱性のため速やかな対応が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector、攻撃元): NETWORK - ネットワーク経由で攻撃される
• AC (Attack Complexity、攻撃の複雑性): LOW - 攻撃が容易
• PR (Privileges Required、必要な権限): NONE - 権限不要
• UI (User Interaction、利用者の操作): NONE - 利用者操作不要
• S (Scope、影響範囲): UNCHANGED - 影響範囲は変わらない
• C (Confidentiality、機密性): HIGH - 情報漏洩の影響大
• I (Integrity、完全性): HIGH - データ改ざんの影響大
• A (Availability、可用性): HIGH - サービス停止など影響大

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自環境のバージョンを確認し、脆弱ならSTEP 4の1.83.7へのアップデートを実施してください。アップデート後はSTEP 5で再確認を必ず行います。

Q. パッチが適用できない場合、どうすればよいですか？

A. 設定ファイルに disable_error_logs: true を追加し、脆弱箇所へのアクセス経路を遮断してください。ネットワーク隔離やWAFルール追加も検討してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 攻撃者が送る不正なAuthorizationヘッダーのアクセスをログで監視してください。異常なAPIキーの使用やデータベースアクセスの不正を早期発見が重要です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは理論上の深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両方参照すると優先度判断の精度が高まります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. SQLインジェクション（CWE-89）に分類される脆弱性は他にも多く存在します。特にプロキシやAPIゲートウェイでの認証周りに注意が必要です。

参考文献

• BerriAI LiteLLM公式アドバイザリ
• NVD: CVE-2026-42208
• LiteLLM v1.83.7リリースノート
• CISA KEVカタログ
• Red Hat 緩和策情報
• GitHub Advisory Database

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧
• BerriAI に関するCVE・脆弱性記事一覧
• LiteLLM に関するCVE・脆弱性記事一覧
• SQLインジェクション に関するCVE・脆弱性記事一覧
• LLM に関するCVE・脆弱性記事一覧
• AI Gateway に関するCVE・脆弱性記事一覧
• AIフレームワーク に関するCVE・脆弱性記事一覧
• KEV登録 に関するCVE・脆弱性記事一覧