CVE-2026-60088 PraisonAIのパストラバーサル脆弱性でファイル外部参照が可能に AI Security対策ガイド

結論

• 危険度: Medium (CVSS 5.5)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-11 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60088は、PraisonAI 4.6.78未満で発生する脆弱性です。攻撃者は認証なしでプロジェクトのカスタムコマンドファイルにパス横断のファイル参照を埋め込み、作業領域外の機密ファイルを読み取れます。LLMゲートウェイやAIエージェント運用者にとって優先的に対応すべき問題です。

やさしく説明すると

PraisonAIは、カスタムコマンドを設定ファイルで指定できます。攻撃者はこの仕組みを利用し、「@../秘密ファイル.txt」のようにファイルパスを操作します。これは「玄関の鍵がかかっていないドアから、隣の部屋の書類を無断で持ち出す」ようなものです。結果として、本来アクセスできない顧客情報やAPI秘密情報などを含むファイルをAIプロンプトに取り込めます。

技術的な原因

本脆弱性はCWE-22「パス・トラバーサル（相対パス・絶対パスの検証不足）」に分類されます。PraisonAIのカスタムコマンドテンプレートはファイルパスの妥当性を検証せず、そのまま処理系に渡してしまいます。これにより、攻撃者は意図的に作業領域外のファイルパスを挿入可能です。

影響を受けると何が困るか

• プロンプトに機密ファイルの内容が混入し、顧客データやAPIキー(OpenAI/Anthropic等)が漏洩する
• LLMコンテキストに意図しないファイル情報が含まれ、プロンプトインジェクション攻撃やモデル誤動作の要因になる
• Agentic AIフレームワークでコマンド実行や情報取得が改ざんされ、AIエージェントが乗っ取られるリスク
• バイブコーダー開発者が使うCursorやCline経由で、ローカルの秘密設定ファイル（.env等）が読み取られる恐れ
• インフラ全体への横展開につながり、管理APIや認証情報まで危険にさらされる可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSSスコアは5.5でMedium評価。実務的には「通常業務メンテナンス時に対応すべき」レベル
• EPSS（悪用予測スコア）は未提供で、公開PoCや悪用報告も現時点ではなし
• ランサムウェアによる悪用観測は不明（現状確認されていない）
• 攻撃条件は「ローカルアクセスがあり、ユーザ操作を介する」ためリモート即時攻撃は難しい
• 脆弱性はパス横断による情報漏洩のみで、完全なシステム制御やリモートコード実行ではない

誰が動くべきか

• PraisonAIをLLM ProxyやAI Gatewayとして本番運用している運用・SRE/SecOpsチーム
• Agentフレームワーク（Agentic系）でPraisonAIをバックエンドに使う開発者
• バイブコーダー開発者のうちPraisonAI連携機能を使っている技術者（Cursor/Cline/Aider/GitHub Copilot/Claude Code含む）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show praisionai

出力例:

Name: praisionai
Version: 4.6.77
Summary: Praison AI framework

判定: バージョンが 4.6.77 以下なら脆弱。4.6.78以上なら安全。

Python（pip list）

pip list | grep praisionai

出力例:

praisonai          4.6.77

判定: バージョンが 4.6.77 以下なら脆弱。

設定確認

本脆弱性は特定の設定依存ではありません。バージョンが脆弱範囲であれば影響を受けます。

Nucleiテンプレートでの検出

現時点で公開Nucleiテンプレートは存在しません。手動でバージョン確認を行ってください。

STEP 4: 修正を適用する

パッチ適用

Python（pip）でのアップグレード

pip install --upgrade praisionai

出力例:

Successfully installed praisionai-4.6.78

判定: バージョンが 4.6.78 以上になれば修正適用済み。

注意: アップデート前に必ずバックアップを取り、ステージング環境で動作検証してください。ダウンタイム計画を立てて安全に運用してください。

パッチ即時適用ができない場合の暫定対応

ベンダーから公式の暫定対応策は提供されていません。ネットワークのローカルアクセス制限やファイルシステム権限の強化を検討してください。

STEP 5: 修正されたことを確認する

STEP 3のバージョン確認コマンドを再度実行してください。

期待される出力

Python（pip show praisionai）

pip show praisionai

出力例:

Name: praisionai
Version: 4.6.78
Summary: Praison AI framework

判定: バージョンが 4.6.78 以上ならOK。

追加で確認すべきこと

公式やサードパーティの脆弱性スキャンツールが登場した場合には再スキャンしてください。AIログに不審なコマンド挿入やアクセス痕跡がないかも監視しましょう。

補足: 悪用観測状況

現在、CVE-2026-60088について公開された悪用コード（PoC）やエクスプロイト情報はありません。ランサムウェア等による悪用の報告も見当たりません。攻撃にはローカルアクセスとユーザ操作が必要なためリモート攻撃は限定的です。

補足: CVSSメトリクス詳細

• 攻撃元(AV): LOCAL – 攻撃者はローカル環境にアクセスできる必要がある
• 攻撃複雑度(AC): LOW – 攻撃は容易で特別な条件は少ない
• 必要権限(PR): NONE – 特別な権限は不要
• ユーザ操作(UI): REQUIRED – 利用者の操作が必要
• スコープ(S): UNCHANGED – 影響範囲は基本的に同一プロセス内
• 機密性影響(C): HIGH – 情報漏えいのリスクが高い
• 完全性影響(I): NONE – データ改ざんはない
• 可用性影響(A): NONE – システム停止等の影響はない

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象バージョンか確認し、脆弱であればSTEP 4のパッチ適用を行い、STEP 5で修正済みか検証してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークのローカルアクセス制限やファイル権限の強化などの暫定対応を検討してください。公式の暫定策はまだありません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式のIoCは未公開ですが、AIログの不審なファイル参照やコマンド挿入の痕跡を監視し、未知の挙動を詳しく調査してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは理論上の深刻度を示しますが、EPSSは実際に悪用される確率を示すため、優先度判断に有用です。本件はEPSS未提供のため補助資料として参照できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-22のパス・トラバーサル脆弱性は他のLLMプロキシやAI Agent製品にも存在する可能性があります。共通のチェックと対策を推奨します。

参考文献

• NVD – CVE-2026-60088
• PraisonAI 修正コミット例
• PraisonAI GitHubアドバイザリ
• VulnCheck アドバイザリ解説

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• パストラバーサル に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧