CVE-2026-70488 Open WebUIの認可バイパスによるディレクトリ削除脆弱性対策ガイド AIセキュリティ＆Agentic開発者必見

結論

• 危険度: Medium (CVSS 4.3)
• 対象: open-webui >= 0.9.6, <= 0.10.2
• 修正: 0.11.0
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-08-04 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-70488は、Open WebUI（自己ホスト型のAIプラットフォーム）で、一つのナレッジベースに書き込み権限を持つユーザーが、別のナレッジベースのファイルやディレクトリを削除できてしまう脆弱性です。攻撃者は対象のLLMアプリケーション運用チームにとって重要なデータが失われたり、チャット機能に影響が出たりするリスクがあります。

やさしく説明すると

想像してください。あなたの家の玄関の鍵が正常にかかっているかはチェックしているのに、部屋ごとの鍵の確認をせずに掃除用ロボットを入れてしまい、別の部屋のものを壊してしまう状況です。この脆弱性は、ナレッジベースという「部屋」にアクセス権があっても、別の「部屋」のファイルやディレクトリを勝手に消してしまえる状態を指します。結果として、特定のデータが取り出せなくなるなどの被害が発生します。

技術的な原因

この脆弱性はCWE-639（権限チェックスキップ）とCWE-863（権限不足の問題）に該当します。具体的には、Open WebUIの同期クリーンアップ用エンドポイントが、URLに指定されたナレッジベースに対しては書き込み権限を確認します。しかしリクエストボディで受け取るディレクトリやファイルIDが、そのナレッジベースに属しているかどうかの検証を行いません。このため、他のナレッジベースの保護すべきデータに対しても操作が可能となります。

影響を受けると何が困るか

• ナレッジベースの重要なファイルやディレクトリの不正削除によるデータ消失
• LLMコンテキストやファイル埋め込み情報の欠落でチャット機能（chat-with-file）が正常に動作しなくなる
• 複数ナレッジベース間でのデータ破壊や情報管理の混乱
• AI GatewayやAgentフレームワークに組み込んだ際のサービス信頼性低下
• AI駆動開発環境（Cursor/Cline/GitHub Copilot 等）でのデータ連携障害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1 スコアは4.3で中程度。実務的には「リスクはあるが緊急性はさほど高くない」レベル。
• EPSSスコアは提供されていません。つまり、現状悪用予測の具体データはありません。
• ランサムウェアなどによる悪用は確認されていません。
• 公開PoCコードは存在しません。
• 攻撃に必要な条件は「書き込み権限を持つユーザー権限」（低い権限要求）ですが、操作範囲が限定的であるため情報漏えいは起きません。

誰が動くべきか

• Open WebUIを利用しLLM Gatewayを構築・運用しているAI/LLMインフラチーム
• AgentフレームワークやRAGパイプラインにOpen WebUIを組み込んでいる開発者・運用者
• バイブコーダーなどAI駆動開発環境でのファイル連携にOpen WebUIを利用しているユーザー

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.10.2
Summary: Self-hosted AI platform

判定: Versionが0.9.6以上0.10.2以下なら脆弱。0.11.0以上で修正済。

設定確認

この脆弱性は設定依存ではありません。脆弱なバージョンに該当する場合は脆弱性があります。

Nucleiテンプレートでの検出

公開されているNucleiテンプレートはありません。脆弱性検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade open-webui==0.11.0

判定: バージョン0.11.0にアップグレードされれば脆弱性は修正されます。

注意: 本番環境でパッチを適用する前に必ずバックアップを取得してください。ステージング環境で動作確認を実施し、アップグレード時のダウンタイムや影響範囲を把握したうえで対応してください。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。暫定対応としては、書き込み権限を持つユーザーの権限管理を強化し、不要なユーザーアクセスを制限してください。

STEP 5: 修正されたことを確認する

修正後はSTEP 3で使用したバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show open-webui

出力例:

Name: open-webui
Version: 0.11.0
Summary: Self-hosted AI platform

判定: バージョンが0.11.0以上ならOKです。

追加で確認すべきこと

公開Nucleiテンプレートはありませんが、ログを監視して脆弱な操作の発生がないか注意してください。ファイル削除や不明な同期処理のリクエストを検出することが望ましいです。

補足: 悪用観測状況

現時点でCISA KEVに登録されておらず、ランサムウェアグループによる悪用の情報もありません。公開PoCやGitHub上の悪用コードも存在しません。したがって、実稼働環境での悪用事例は未確認です。

補足: CVSSメトリクス詳細

• AV (Attack Vector: 攻撃元): NETWORK（ネットワーク経由の攻撃が可能）
• AC (Attack Complexity: 攻撃複雑度): LOW（攻撃条件は複雑ではない）
• PR (Privileges Required: 必要権限): LOW（低い権限ユーザーでも攻撃可能）
• UI (User Interaction: ユーザー操作): NONE（追加のユーザー操作不要）
• S (Scope: 範囲変更): UNCHANGED（権限の範囲は変わらない）
• C (Confidentiality: 機密性影響): NONE（情報漏洩は発生しない）
• I (Integrity: 完全性影響): LOW（データが一部破損・削除される可能性）
• A (Availability: 可用性影響): NONE（サービス停止は起きない）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で自環境のopen-webuiのバージョンを確認し、対象バージョンならSTEP 4で0.11.0へアップグレードしてください。最後にSTEP 5で修正状況を確認しましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. 書き込み権限ユーザーの制限強化や不要ユーザーのアクセスを取り下げるなど、権限管理を堅牢化してください。公式の暫定策は提供されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ファイル削除操作や同期クリーンアップ処理のログを精査し、意図しないナレッジベース間の操作がないか確認してください。疑わしい活動があれば早期に対応が必要です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際に攻撃者により悪用される可能性を表します。両方をチェックすることで優先対応の判断が精度良くできます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じCWE-639（権限チェック不備）やCWE-863（権限昇格不備）に分類される脆弱性は他にも存在します。Open WebUI以外のLLMプラットフォームでも注意が必要です。

参考文献

• NVD: CVE-2026-70488詳細
• GitHub Advisory Database GHSA-jxc9-xmc4-gr23
• Open WebUI 0.11.0 リリースノート
• 修正コミット (GitHub)

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• authz に関するCVE・脆弱性記事一覧
• Embeddings に関するCVE・脆弱性記事一覧
• AI UI に関するCVE・脆弱性記事一覧