MENU
  1. ホーム
  2. CVE
  3. CVE-2026-57495 AgenticMailの認証バイパス脆弱性でAIエージェントに実メール曝露 AI Security対策ガイド

CVE-2026-57495 AgenticMailの認証バイパス脆弱性でAIエージェントに実メール曝露 AI Security対策ガイド

CVE
2026-cve ai-agent ai-coding ai-safety ai-security auth-bypass embeddings prompt-injection
  • URLをコピーしました！

AI Security速報をXで配信しています!!

AI/LLM関連の脆弱性、PoC、KEV追加などの更新情報を見逃したくない方は、Xをフォローしてねー!

Xでフォローする

本記事は公開時点の情報をもとにした速報記事です。内容が更新される場合があるため、必要に応じてベンダー公式情報や一次情報もあわせて確認してください。

目次

結論

  • 危険度: 情報なし
  • 対象: (詳細はベンダーアドバイザリ参照)
  • 修正: ベンダーアドバイザリ参照
  • KEV: No (NVD Critical由来。CISA KEVには未登録)
タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味
表記 条件 意味 対応目安
【至急/ランサム悪用】 CISA KEV登録 + ランサムウェア悪用観測 ランサムグループが現在進行形で悪用 本日中に対応開始
【至急/重大】 CISA KEV登録 + CVSS 9.0以上 実世界で攻撃観測あり + スコア極めて高い 本日中に対応開始
【重大/KEV登録】 CISA KEV登録(CVSS低またはNVD未反映) 実世界で攻撃観測あり 数日以内
【最重大】 CVSS 9.5以上(KEV未登録) 理論上の危険度ほぼ満点、攻撃観測はまだない 1週間以内に対応計画
【重大】 CVSS 9.0〜9.4(KEV未登録) Critical帯の理論的高リスク 1〜2週間以内
【高】 CVSS 7.0〜8.9(KEV未登録) High帯のリスク 計画的に対応
(プレフィックスなし) CVSS 7.0未満 Medium以下のリスク 通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-07-20 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP やること かかる目安
STEP 1 何が起きているか理解する 3分
STEP 2 急ぎ対応すべきか判断する 3分
STEP 3 自分の環境が対象か確認する 5分
STEP 4 修正を適用する 環境による
STEP 5 修正されたことを確認する 3分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-57495は、AgenticMailの複数モジュールで、攻撃者が本物のメールアドレスや電話番号を使い、認証されていないまま特権付きのAIエージェントを操作できる脆弱性です。LLMゲートウェイやAgenticMailを運用するAI運用者にとって、即対応が望まれます。

やさしく説明すると

想像してください。玄関のスマートロックが、家主の本人かどうか確かめずに「合鍵」を渡してしまうような状態です。この脆弱性では、AIがメールで受け取る情報の送り主を適切に確認していません。その結果、攻撃者がメールを使ってAIに自由に命令を送れます。つまり、AIが勝手に動いてしまい、情報漏えいや操作ミスが起こり得ます。

技術的な原因

この脆弱性はCWE-306に分類されます。CWE-306は「認証不足（Missing Authentication）」を指し、機能の使用時に正当な利用者かの確認が抜けている欠陥です。具体的には、AgenticMailの@agenticmail/claudecode（0.2.39未満）、@agenticmail/codex（0.1.33未満）、@agenticmail/core（0.9.43未満）、@agenticmail/openclaw（0.5.71未満）の受信メール処理ハンドラの一部が、送信者がオペレーター本人かどうかを検証しません。そのため外部からのメールでAIセッションの権限を迂回できる問題が発生しました。

影響を受けると何が困るか

  • 攻撃者がオペレーター権限のAIエージェントを遠隔操作できる
  • 攻撃者による間接的なプロンプトインジェクションが可能になり、意図しない命令実行が起きる
  • APIキーなどの秘密情報の漏洩リスクが高まる
  • LLMコンテキスト内の機密情報（顧客データなど）が窃取される恐れがある
  • 複数のAI Agenticツールチェーンを通じて、運用中のインフラに影響が及ぶ可能性
  • AI駆動開発者やバイブコーダーが利用する環境で、信頼しているAIの挙動が改ざんされる

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ 情報源 言語 何が分かるか リンク
総合 NVD（米国 NIST） 英 米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。 開く
総合 MITRE CVE 英 CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。 開く
総合 JVN iPedia（JPCERT/CC・IPA） 日 日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。 開く
総合 CISA KEV（悪用観測カタログ） 英 米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。 開く
総合 GitHub Advisory Database 英 OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。 開く
総合 OpenCVE 英 複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。 開く
Linux Red Hat CVE 英 Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。 開く
Linux Ubuntu Security 英 Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。 開く
Linux Debian Security Tracker 英 Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディストリ利用者向け。 開く
Linux SUSE CVE 英 SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。 開く
悪用 Exploit Database 英 公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。 開く
悪用 Packet Storm Security 英 セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。 開く
悪用 GitHub PoC 検索 英 GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。 開く
悪用 X（Twitter）検索 日英 直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。 開く
スキャナ Snyk Vulnerability DB 英 パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。 開く
スキャナ Tenable（Nessus） 英 Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。 開く
スキャナ Rapid7（Metasploit/Nexpose） 英 Metasploit悪用モジュール、Nexposeでの検出情報。 開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

  • CVSSスコアの情報は公開されていません。数値としての深刻度は不明ですが、認証不足による高影響が想定されます。
  • EPSS（実際に悪用される確率）のスコアは不明で、データは未提供です。
  • ランサムウェアによる悪用の報告は今の所ありません。
  • 公開PoCコードはGitHub上に存在せず、武器化されている様子はありません。
  • 攻撃はネットワーク経由でメールを送信するだけで実行可能ですが、送信先や環境に依存し、認証の有無は検証不足です。

誰が動くべきか

  • AgenticMailの運用者（特に@agenticmail/claudecode、@agenticmail/codex、@agenticmail/core、@agenticmail/openclawを導入しているAI GatewayやAgentフレームワーク運用者）
  • LLM ProxyやMCP Serverの管理チーム
  • Agentic系AI Agentツールチェーンを利用するAI駆動開発者及びバイブコーダー（Cursor、Cline、Copilotなども利用している場合は注意）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品 脆弱なバージョン範囲 修正版
@agenticmail/claudecode < 0.2.39 0.2.39 以上
@agenticmail/codex < 0.1.33 0.1.33 以上
@agenticmail/core < 0.9.43 0.9.43 以上
@agenticmail/openclaw < 0.5.71 0.5.71 以上

バージョン確認コマンド

Python (pip)

pip show agenticmail-claudecode

出力例:

Name: agenticmail-claudecode
Version: 0.2.38
...

判定: Versionが0.2.39未満なら脆弱

Python (pip)

pip show agenticmail-codex

出力例:

Name: agenticmail-codex
Version: 0.1.32
...

判定: Versionが0.1.33未満なら脆弱

Python (pip)

pip show agenticmail-core

出力例:

Name: agenticmail-core
Version: 0.9.42
...

判定: Versionが0.9.43未満なら脆弱

Python (pip)

pip show agenticmail-openclaw

出力例:

Name: agenticmail-openclaw
Version: 0.5.70
...

判定: Versionが0.5.71未満なら脆弱

設定確認

この脆弱性は送信者の認証チェックが欠如している設計上の問題です。したがって設定の変更だけでは防げません。バージョンが対象範囲なら脆弱です。 ベンダーの修正版へアップデートで対応してください。

Nucleiテンプレートでの検出

2026年7月現在、CVE-2026-57495用の公開Nucleiテンプレートはありません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade agenticmail-claudecode agenticmail-codex agenticmail-core agenticmail-openclaw

判定: 各モジュールが修正バージョン以上にアップグレードされればOK

注意: 修正前に必ずバックアップやステージング環境で動作検証を行ってください。運用中のダウンタイム計画も必須です。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応策は提示されていません。メールの受信経路やAgenticMailのブリッジ機能を外部から隔離する等、ネットワーク的な制限で被害を防止ください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show agenticmail-claudecode

出力例:

Name: agenticmail-claudecode
Version: 0.2.39
...

判定: バージョンが 0.2.39 以上ならOK

Python (pip)

pip show agenticmail-codex

出力例:

Name: agenticmail-codex
Version: 0.1.33
...

判定: バージョンが 0.1.33 以上ならOK

Python (pip)

pip show agenticmail-core

出力例:

Name: agenticmail-core
Version: 0.9.43
...

判定: バージョンが 0.9.43 以上ならOK

Python (pip)

pip show agenticmail-openclaw

出力例:

Name: agenticmail-openclaw
Version: 0.5.71
...

判定: バージョンが 0.5.71 以上ならOK

追加で確認すべきこと

利用可能ならNucleiテンプレートの再実行やベンダー提供の検出ツール実行も推奨します。ログに不審な操作履歴や異常アクセスがないか継続的に監視してください。

補足: 悪用観測状況

本脆弱性は2026年7月時点でCISA KEVカタログに未登録であり、ランサムウェアによる悪用報告もありません。GitHubにはPoCコードも公開されていません。現状では実運用環境で悪用された形跡は見つかっていません。

補足: CVSSメトリクス詳細

  • AV（攻撃元の範囲）: 不明
  • AC（攻撃の難しさ）: 不明
  • PR（必要な権限）: 不明
  • UI（ユーザー操作の有無）: 不明
  • C（機密性への影響）: 高い可能性あり
  • I（完全性への影響）: 高い可能性あり
  • A（可用性への影響）: 低い可能性

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3のバージョン確認を行い、対象バージョンがあればSTEP 4で示した修正版にアップデートしてください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 現時点で公式な暫定対応はありませんが、メール受信経路をネットワーク的に制限し、外部からの不正メールを遮断してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログに外部未知送信者からのメール経由で不審なAIセッション再開の記録がないか監視し、ベンダー提供の検出ツールがあれば活用してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的な深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方を確認することで、対応の優先度が適切に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-306（認証不足）に分類される脆弱性は、AIエージェントやLLMゲートウェイの認証機構全般で類似の問題が発生する可能性があります。常に認証チェックを重点的に確認してください。

参考文献

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

2026-07-21 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 0日）。

項目 公開時点 2026-07-21時点 変化の意味
CVSSスコア変化 9 (Critical) 8.2 (HIGH) NVD再評価でスコアが下方修正
タイトルプレフィックス未付与 (プレフィックスなし) 【高】 公開時はタイトルに危険度プレフィックスが付いていない。最新状況では付与が妥当（記事生成時の凡ミス補正）

CVSSスコア変化

公開時点ではCVSSスコアが「9 (Critical)」とされていましたが、その後NVDによる再評価が行われ、「8.2 (HIGH)」へと下方修正されました。この修正は、脆弱性の深刻度が緊急対応を要する「Critical」から、計画的な対応でもリスクコントロール可能な「High」へ見直されたことを意味します。

本件により、対応の優先度やスケジュール見直しが必要になる場合があります。ただし、High帯でも十分に重大なリスクを内在しており、引き続き注意が必要です。すでにCritical想定で緊急対策を進めていた場合は、計画的な再検討・優先順位付けの実施を推奨します。

タイトルプレフィックス未付与

公開時の記事タイトルには本来付与されるべき危険度プレフィックス（今回であれば「【高】」）が付いていませんでした。その後の確認により、現時点の基準に基づき「【高】」プレフィックスを付ける対応が妥当とされ、修正されています。この対応は記事生成時の手順ミスを是正するものであり、読者がリスクレベルを一目で把握しやすくなります。

タイトル表記が正式化されたことで、社内外の管理・集約や優先順位判断にもより正確に活用できるようになります。今後も記事タイトルの危険度表記にご留意いただき、最新基準でのリスク判断をお願いします。

AI Security速報を継続配信しています!!

AI/LLM関連の脆弱性、PoC、KEV追加、海外アドバイザリなどを X で配信してるので、ぜひフォローをお願いします!

@ai_sec_news_256 をフォロー

CVE
2026-cve ai-agent ai-coding ai-safety ai-security auth-bypass embeddings prompt-injection

この記事が気に入ったら
フォローしてね！

よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

関連記事

目次