CVE-2026-70487 Open WebUIの権限回避によるクロスユーザー情報漏洩問題とAI Security対策ガイド

結論

• 危険度: Medium (CVSS 5.3)
• 対象: open-webui >= 0.8.8, <= 0.10.2
• 修正: 0.11.0
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-08-04 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-70487は、Open WebUIのバージョン0.8.8から0.10.2までにある脆弱性です。認証済みユーザーが、権限がないはずの他ユーザーのファイルの内容を読み取れます。これはLLMゲートウェイの運用者にとって最優先で対策すべき問題です。

やさしく説明すると

この脆弱性は、例えるなら「家の中の書斎の鍵はかかっているが、玄関の受付が不注意で合鍵を渡してしまう」ようなものです。認証はあるものの、他人のファイルの中身を読めてしまい、秘密の情報が漏れる可能性があります。つまり、本来見せるべきでない情報にアクセスされてしまう恐れがあるのです。

技術的な原因

この問題は、CWE-862（権限不足検証の欠如）に該当します。Open WebUIはチャットリクエストでモデルのメタデータを直接インライン設定できますが、そのデータに付随するファイル添付に対して呼び出し元の読取権限を正しく確認していません。結果として、認証済みユーザーが他ユーザーのファイルIDを知っていれば、内容を読み出せてしまいます。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropic等）の秘密保持が損なわれるリスク
• LLMのコンテキスト情報、顧客データの窃取
• プロンプトインジェクションを介したエージェント乗っ取りの手がかり供与
• モデルやRAG（Retrieval-Augmented Generation）データの一部漏洩
• 請求コストの不正増加リスクは直接ないが、情報漏洩から派生する被害がある
• テナント間での機密情報漏洩
• AIコーディングツール(CopilotやCursor等)経由での秘密情報流出に直結
• 開発・運用の信頼性低下やコンプライアンス違反リスク増大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは5.3のMedium評価。これは実務上、即時の大規模被害は少ないが見過ごせない中程度リスクです。
• EPSS（悪用予測スコア）は提供されていません。
• ランサムウェア悪用の確認はありません。
• 公開PoC（実証コード）はGitHub上にありません。
• 悪用に必要な条件は認証済みユーザーで、かつ対象ファイルIDの事前知識が必要であるため攻撃難度はやや高いです。
• ネットワーク経由で攻撃可能ですが、攻撃複雑度が高く、管理API乗っ取り等のインフラ全体支配は難しいです。

誰が動くべきか

• Open WebUIを利用し、自社のLLM GatewayやAI Agentシステムを運用している運用者・SRE/SecOpsチーム
• Agentフレームワーク開発者やRAGパイプライン保守者
• CursorやCline、CopilotなどのAIコーディングツールと連携し、自動化開発を行うバイブコーダー開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.10.2
Summary: Open WebUI self-hosted AI platform
...

判定: Versionが 0.8.8 以上 0.10.2 以下なら脆弱。0.11.0 以上であれば安全。

Python (pip list)

pip list | grep open-webui

出力例:

open-webui         0.10.2

判定: 上記同様、バージョン番号を確認。

設定確認

この脆弱性は特定の設定依存ではなく、Open WebUIのバージョンに依存します。したがって、設定を変更しても脆弱性は消えません。対象バージョンなら無条件に脆弱と判断します。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートは存在しません。バージョン確認での対応を推奨します。

STEP 4: 修正を適用する

パッチ適用

Python (pip) アップグレード

pip install --upgrade open-webui

判定: バージョンが 0.11.0 以上に更新されていれば修正パッチが適用されたことを意味します。

注意: パッチ適用前には必ず現在の環境のバックアップを取得してください。ステージング環境で動作検証を実施した後、本番環境に適用することを推奨します。ダウンタイム計画も併せて検討してください。

パッチ即時適用ができない場合の暫定対応

公式からの暫定対応策は提供されていません。可能であれば、Open WebUIのアクセスを信頼できるネットワークに限定し、未知のファイルID情報漏洩リスクを低減してください。

STEP 5: 修正されたことを確認する

STEP 3で行ったバージョン確認コマンドを再度実行し、修正されていることを必ず確認してください。

期待される出力

Python (pip) バージョン確認

pip show open-webui

出力例:

Name: open-webui
Version: 0.11.0
Summary: Open WebUI self-hosted AI platform
...

判定: バージョンが 0.11.0 以上ならOK

追加で確認すべきこと

• ログに不審なファイルIDアクセスや他ユーザーの情報参照履歴が無いか調査する
• もしNucleiテンプレートが将来提供された場合はスキャンを再実施する

補足: 悪用観測状況

CVE-2026-70487は、現時点でランサムウェアグループによる悪用は確認されていません。公開PoCもなく、GitHub上での悪用コードは存在しません。CISA KEVにも未登録です。ただし認証済みユーザーによる情報漏洩が可能なため、注意深い運用が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector – 攻撃元): NETWORK。攻撃者はリモートから攻撃できます。
• AC (Attack Complexity – 攻撃複雑度): HIGH。攻撃を成功させるには条件が整う必要があり難しいです。
• PR (Privileges Required – 必要権限): LOW。認証済みユーザーであれば攻撃可能です。
• UI (User Interaction – ユーザ操作): NONE。被害者の操作は不要です。
• S (Scope – スコープ変化): UNCHANGED。影響範囲は元のコンポーネント内に留まります。
• C (Confidentiality – 機密性影響): HIGH。情報漏洩が発生します。
• I (Integrity – 完全性影響): NONE。データ改ざんは発生しません。
• A (Availability – 可用性影響): NONE。システム停止等の影響はありません。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自身の環境のopen-webuiバージョンを確認し、0.11.0以上にアップデートしてください。具体的なバージョン確認コマンドとアップグレード手順は本記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、ネットワークアクセス制限やアクセスログ監視の強化を行い、情報漏洩リスクを下げてください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. システムログやアクセスログに他ユーザーのファイルIDを利用した異常なアクセスがないかを監視してください。現状、既知の悪用指標(IOC)は報告されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両方参照することで優先度の判断がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-862（権限検証不足）に分類される脆弱性は複数存在します。類似の問題は他のLLM ProxyやAgenticフレームワークでも注意が必要です。

参考文献

• NVD – CVE-2026-70487
• GitHub Advisory Database GHSA-6xhv-rxhv-pwm4
• Open WebUI v0.11.0 リリースノート
• 修正コミット (GitHub)

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• authz-missing に関するCVE・脆弱性記事一覧
• AI UI に関するCVE・脆弱性記事一覧