CVE-2026-59213 Open WebUIのアクセス制御欠陥によるモデルリスト漏洩問題とAI Security対策ガイド

結論

• 危険度: Low (CVSS 3.5)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-09 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-59213はOpen WebUIの0.6.27から0.10.0未満のバージョンに存在します。攻撃者はキャッシュの誤設定を利用し、認可制限された別ユーザーのモデルリストを取得できます。これはLLMゲートウェイやAIプラットフォーム運用者にとって優先対応すべき脆弱性です。

やさしく説明すると

この脆弱性は鍵のかかった部屋の中身が、別の人に見られてしまうような問題です。Open WebUIの機能がユーザーごとに違う情報を管理するはずなのに、共有されるキャッシュのせいで、本来見られないリストを他人が見られてしまいます。言い換えると、玄関の鍵をかけたつもりが、合鍵が勝手に共有されている状態です。

技術的な原因

この脆弱性は、CWE-524（情報漏洩脆弱性）に該当します。Open WebUIの get_all_models ハンドラーが、キャッシュライブラリ aiocache のキー生成において、ユーザー固有のキーを動的に作成すべきところをラムダ式で誤って固定のキャッシュキーを渡していました。結果として、権限でフィルターされたユーザーごとのモデルリストが共有キャッシュとして保存され、ユーザー間で情報が漏洩しました。

影響を受けると何が困るか

• 他ユーザーのAIモデル一覧が漏洩し、情報管理の信頼性が損なわれる
• LLMのコンテキスト情報やAPIキーが含まれている場合は、機密情報の漏洩に繋がる恐れがある
• マルチテナント環境ではテナント間情報漏洩（クロステナントアクセス）が発生しやすくなる
• バイブコーダー開発者が利用するAgenticやLLM Proxyの設定情報漏洩リスクが増す
• AI GatewayやAgentフレームワークの運用者が、サービス信頼性を損なうリスクがある

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 低

判断根拠

• CVSS v3.1 スコアは 3.5 で低評価。実務的にはリスクは小さく、緊急対応は不要
• EPSSスコアは未提供。悪用予測は不明
• ランサムウェアによる悪用は確認されていない
• 公開PoCはない。攻撃コードも存在しない
• ネットワークから攻撃可能だが、権限レベルは低く、攻撃難度は高め（高い攻撃複雑度）
• ユーザー操作不要だが、スコープが変わり機密性に低い影響を及ぼす

誰が動くべきか

• Open WebUIを運用しているAI GatewayやLLM Proxy管理者
• Agentフレームワークを社内AI開発に利用している運用者・SRE/SecOpsチーム
• バイブコーダー開発者でOpen WebUIをセルフホストしてAI駆動開発に使っている場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.9.8
Summary: Extensible, feature-rich AI self-hosted platform

判定: Version が 0.6.27～0.9.x（0.10.0未満）なら脆弱。それ以降なら安全。

Python (poetry)

poetry show open-webui

出力例:

name     : open-webui
version  : 0.7.5
description: Extensible AI platform

判定: version が 0.6.27～0.10.0未満なら脆弱。

設定確認

この脆弱性は特定のキャッシュキーの実装ミスに起因し、設定で簡単に回避できません。バージョンが対象範囲なら脆弱です。

公的に使えるNucleiテンプレートは存在しません。

STEP 4: 修正を適用する

パッチ適用

Python環境 (pip upgrade)

pip install --upgrade open-webui

出力例:

Successfully installed open-webui-0.10.0

判定: バージョンが 0.10.0 以上になっていれば修正済みです。

Python (poetry update)

poetry update open-webui

出力例:

Updating dependencies
Resolving dependencies...
  - Upgraded open-webui from 0.9.8 to 0.10.0

判定: open-webuiのバージョンが0.10.0以上なら安全

注意: パッチ適用前に必ず環境のバックアップとステージング環境での動作検証を行ってください。運用中のサービスにはメンテナンス計画に基づくダウンタイムが必要になる場合があります。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。可能であれば、対象バージョンのOpen WebUIのアクセス制御を強化し、内部権限管理を厳格化してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドをもう一度実行します。バージョンが適切に更新されていることを確認してください。

期待される出力

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.10.0
Summary: Extensible, feature-rich AI self-hosted platform

判定: バージョンが 0.10.0 以上ならOK

Python (poetry)

poetry show open-webui

出力例:

name     : open-webui
version  : 0.10.0
description: Extensible AI platform

判定: version が 0.10.0 以上なら修正済みと判断

追加で確認すべきこと

• 本CVEについては公開Nucleiテンプレートがないため、バージョン確認による安全確認が最も確実です。
• システムログに権限を超えるモデルリストのアクセス記録がないか定期的に監視してください。

補足: 悪用観測状況

CVE-2026-59213については、現時点でランサムウェアグループや攻撃者による悪用観測は報告されていません。GitHubやExploit Databaseにも公開PoCはありません。そのため、実際の攻撃可能性は低いと評価されますが、情報漏洩のリスクは残ります。AI Securityの観点からは、将来的な攻撃発生に備えた対応が推奨されます。

補足: CVSSメトリクス詳細

• AV（攻撃元）: NETWORK（ネットワーク経由からの攻撃）
• AC（攻撃複雑度）: HIGH（攻撃に高いスキルや条件が必要）
• PR（必要権限）: LOW（低い権限で攻撃可能）
• UI（ユーザー操作）: NONE（ユーザー操作不要）
• S（スコープ）: CHANGED（攻撃で権限範囲が拡大）
• C（機密性影響）: LOW（情報漏洩のリスクはあるが被害軽微）
• I（完全性影響）: NONE（データ改竄にはつながらない）
• A（可用性影響）: NONE（サービス停止などは発生しない）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. 対象バージョンかを確認し（STEP 3）、パッチ適用またはバージョンアップを実行し（STEP 4）、修正が反映されたか再度確認してください（STEP 5）。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、アクセス制御強化やネットワーク隔離でリスクを下げてください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. モデルリストアクセスログを監視し、権限を超える異常アクセスがないか確認してください。公開PoCはありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際に悪用される確率を予測する数値です。両方を見ると対応優先度が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-524に関連する情報漏洩系脆弱性は他にもありますが、本CVE固有のキャッシュキー設定ミスに特化しています。

参考文献

• NVD: CVE-2026-59213詳細
• GitHub: 修正コミット
• GitHub: 修正プルリクエスト
• GitHub: リリースv0.10.0
• GitHub Security Advisory

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• low-severity に関するCVE・脆弱性記事一覧
• model-serving に関するCVE・脆弱性記事一覧
• AI UI に関するCVE・脆弱性記事一覧