【高】CVE-2026-59224 Open WebUIで発覚した認証バイパス脆弱性とAI Security対策ガイドForLLM運用者

結論

• 危険度: High (CVSS 8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-09 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-59224は、Open WebUIという自己ホスト型AIプラットフォームで発生した脆弱性です。攻撃者はユーザー認証を不正にすり抜けて、別のユーザーとして制御端末を操作できます。これはLLMゲートウェイやAI環境の運用者にとって深刻なリスクです。

やさしく説明すると

この脆弱性は、玄関の鍵がかかっていないのに似ています。通常は誰かが来たら本人確認をしますが、ここではカギの代わりになる証明書の扱いにミスがあります。そのため、攻撃者は合鍵を勝手に作って、他人の家（ユーザー端末）に入って勝手に操作できてしまいます。AIシステムのセキュリティの根幹が揺らぐ問題です。

技術的な原因

この問題の根本は、CWE-287（認証不備）とCWE-290（認証の不適切な検証）に該当します。具体的には、Open WebUIの backend/open_webui/routers/terminals.py が未エンコードの session_id を使ってURLを生成し、さらに user_id をクエリパラメータに追加しました。この設計により、攻撃者がクエリを細工して他ユーザーを装うことが可能になりました。またHTTPプロキシは X-User-Id ヘッダーを検証なしに使っており、IDの真偽が保証されていません。

影響を受けると何が困るか

• 攻撃者は認証なしに他ユーザーとして動作し、AIセッションを乗っ取れる
• LLMコンテキストや顧客の機密情報を盗まれる
• プロンプトインジェクションを介しエージェントやAI Gatewayをハイジャックできる
• モデル設定やRAG（Retrieval-Augmented Generation）データを改ざんされる恐れがある
• APIキーやトークンの漏洩につながる可能性がある
• AI開発ツール（Cursor、Cline、Copilotなど）を使ったリモート操作や悪用の足掛かりになる
• テナント間での情報漏洩やクラウドインフラ全体への横展開リスク

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSSスコアは 8.0（High）です。技術的には攻撃にユーザー操作が必要ですが、認証レベルは低く影響は大きいです。
• EPSS（悪用予測スコア）は現時点で提供されていません。
• ランサムウェアによる悪用は確認されていません。
• 公開されているPoCはありません。
• 攻撃複雑度は高めですが、ネットワーク経由で低権限ユーザーが関与するため実務対応は重要です。

誰が動くべきか

• Open WebUIを利用または運用しているAI/LLM Gateway管理チーム
• Agentフレームワーク開発者（Open WebUIを含む）
• バイブコーダー開発者（Cursor/Cline/Aider/GitHub Copilot/Claude Code等のユーザー）
• MLインフラチームやRAGパイプライン運用者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.9.8
Summary: Open WebUI AI platform

判定: Version が 0.10.0未満なら脆弱、0.10.0以上なら安全。

Python (pip list + grep)

pip list | grep open-webui

出力例:

open-webui              0.9.8

判定: 0.10.0未満なら脆弱。

設定確認

この脆弱性は特定の設定に依存せず、バージョン 0.10.0 未満なら影響を受けます。したがって設定追加での回避はできません。

公開Nucleiテンプレートによる検出

本脆弱性に関する公開されているNucleiテンプレートはありません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Python (pip インストール環境)

pip install --upgrade open-webui

判定: バージョンが 0.10.0 以上に更新されれば脆弱性は解消されます。

注意: パッチ適用前に必ず現行環境のバックアップを取得してください。ステージング環境で動作確認を十分に行い、本番適用ではダウンタイム計画を立ててください。

パッチ即時適用ができない場合の暫定対応

現時点で公式から暫定対応策は提示されていません。影響範囲が広いため、アップグレードが困難な場合はネットワークレベルでのアクセス制御強化や該当機能の一時停止を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で紹介したバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.10.0
Summary: Open WebUI AI platform

判定: バージョンが 0.10.0 以上なら安全です。

追加で確認すべきこと

• 新バージョン適用後、ログに脆弱性関連の不審なアクセスがないか監視してください。
• もし公開Nucleiテンプレート等が提供された場合は再度検査を実施してください。

補足: 悪用観測状況

2026年7月時点では、CISAのKEVカタログに未登録であり、ランサムウェアによる悪用も確認されていません。公開PoCや既知の攻撃コードも存在しません。つまり現状は実際の悪用報告はありませんが、脆弱性の根本的なリスクは高いため早期対応が望まれます。

補足: CVSSメトリクス詳細

• AV (攻撃元): NETWORK ネットワーク経由で攻撃可能
• AC (攻撃複雑度): HIGH 攻撃に複雑な操作や条件を要する
• PR (必要権限): LOW 低い権限ユーザーで攻撃可能
• UI (ユーザ操作): REQUIRED 攻撃にはユーザーの何らかの操作が必要
• S (スコープ): CHANGED 攻撃がシステムの別の部分に影響を与える
• C (機密性影響): HIGH 機密情報の漏洩を招く
• I (完全性影響): HIGH 情報の改ざんが可能
• A (可用性影響): HIGH システムの停止や障害を引き起こす

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分の環境のバージョンを確認し、0.10.0未満ならSTEP 4で速やかにアップグレードしてください。

Q. パッチが適用できない場合、どうすればよいですか？

A. STEP 4にある暫定対応を検討してください。特にネットワークアクセス制御の強化や該当機能の一時停止が有効です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーの公式情報が現時点で詳細なIOCを提供していません。ログ監視で不審なユーザーIDの切り替えや認証不正を疑ってください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的深刻度を示しますが、EPSSは「実際にどれだけ悪用されやすいか」を示します。両方を見て優先度判断をしてください。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-287やCWE-290に該当する認証不備の脆弱性は他の多くのAI/LLM関連製品でも発生し得ます。導入製品の脆弱性一覧も確認してください。

参考文献

• NVD: CVE-2026-59224詳細
• GitHub コミット修正内容
• Open WebUI 0.10.0リリース
• GitHub セキュリティアドバイザリ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• 認証バイパス に関するCVE・脆弱性記事一覧
• AI UI に関するCVE・脆弱性記事一覧