AIゲートウェイ「LiteLLM」に最悪評価10.0の脆弱性──MCP経由の無認証リモートコード実行がCISA警告リスト入り、いま確認すべきこと
リード ── 「便利なAIの蛇口」が、攻撃者の入口になった
2026年6月、生成AI開発の現場を静かな緊張が走った。100以上のLLM（大規模言語モデル）をひとつの窓口でまとめて呼び出せる人気のオープンソース基盤「LiteLLM」に、深刻度が最高評価の「10.0（Critical）」に達する脆弱性が見つかり、すでに実環境での悪用が確認されたのである。
問題の脆弱性は CVE-2026-42271。米セキュリティ企業 Horizon3.ai が攻撃経路を検証し、6月初旬には米サイバーセキュリティ・社会基盤安全保障庁（CISA）が、実際に悪用された脆弱性をまとめる「Known Exploited Vulnerabilities（KEV）カタログ」に登録した。CISAは連邦政府機関に対し、6月22日までの修正完了を命じている。
恐ろしいのは、この欠陥が単独ではなく「連鎖」によって牙をむく点だ。別の脆弱性と組み合わせることで、攻撃者は認証情報を一切持たないまま、外部からサーバー上で任意のコマンドを実行できる。AIインフラの心臓部を狙う、典型的かつ最悪のシナリオである。本稿では、何が起きているのか、なぜ危険なのか、そして利用者は何をすべきかを整理する。
背景 ── そもそもLiteLLMとは何か
LiteLLMは、OpenAI、Anthropic、Google Gemini、AWS Bedrock、Azure OpenAIなど、乱立する100以上のLLMプロバイダーへのアクセスを、OpenAI互換の統一インターフェースに束ねるオープンソースの「AIゲートウェイ（LLMプロキシ）」だ。月間のダウンロード数は約9,700万回にのぼり、生成AIを業務に組み込む多くの企業が、コスト追跡・フォールバック・負荷分散の要として採用している。
つまりLiteLLMは、各社のAPIキーや認証情報を一手に束ねる「鍵の集積地」であり、企業のAIパイプラインの中核に座ることが多い。利便性が高い一方で、ここが破られれば被害が一気に広範囲へ波及する──という構造的なリスクを最初から抱えている。今回の事件は、その弱点が現実に突かれた事例だといえる。
LiteLLMをめぐるセキュリティ事案は、これが初めてではない。2026年3月にはPyPI上で悪意あるバージョンが公開されるサプライチェーン攻撃が発生し、4月にはセキュリティ企業がMCP（Model Context Protocol）まわりの「システミックな脆弱性」を指摘していた。AIツールチェーン全体が、攻撃者にとって魅力的な標的になりつつある潮流の延長線上に、今回の一件はある。
詳細① ── 根本原因は「MCPのテスト用エンドポイント」
CVE-2026-42271の本質は、MCPサーバーを保存前にプレビューするための、2つの「テスト用エンドポイント」にある。具体的には POST /mcp-rest/test/connection と POST /mcp-rest/test/tools/list の2つだ。
これらのエンドポイントは、リクエストの本文でMCPサーバーの完全な構成（stdioトランスポートが使う command／args／env）を受け取り、接続テストの過程で指定されたコマンドをプロキシのホスト上でサブプロセスとして起動してしまう。しかも、その実行権限はLiteLLMプロキシのプロセス権限そのものだ。
さらに問題だったのは、これらのエンドポイントが「有効なプロキシAPIキーを持っているか」しか確認せず、ロール（権限）チェックを行っていなかった点である。つまり、本来は限定的なはずの低権限キーを持つ内部ユーザーですら、任意のコマンドを実行できてしまった。これがこのCVEの核心だ。
詳細② ── 「認証あり」が「無認証」に変わる瞬間
CVE-2026-42271は当初、当局も研究者も深刻度を低めに見積もっていた。あくまで「正規のAPIキーで認証されたユーザー」によるコマンド実行であり、外部から無条件に叩けるものではないと考えられたためだ（実際、公式アドバイザリの当初評価はCVSS 8.7だった）。
その前提を崩したのが、WebフレームワークStarletteに見つかった別の脆弱性 CVE-2026-48710（通称「BadHost」） である。これはHostヘッダーの検証を回避できる欠陥で、Starletteのバージョン1.0.0以前が影響を受ける。LiteLLMは内部的にStarlette／FastAPI系の上で動くため、攻撃者はBadHostで認証を丸ごとバイパスし、そのままCVE-2026-42271のコマンド実行エンドポイントへ到達できる。
この2つを連鎖させた結果が、認証情報なしの遠隔コード実行（RCE）であり、合算したCVSSスコアは最高値の10.0に達する。Horizon3.aiは2026年6月1日にこの攻撃経路を確認し、技術的詳細を公開した（ただし悪用を助長する実証コードは伏せられている）。影響を受けるのは、LiteLLMのバージョン1.74.2〜1.83.6と、Starlette 1.0.0以前を組み合わせた環境だ。どちらか一方の条件だけでは攻撃の成立に限界があるが、両方が揃うと無認証RCEが現実になる。
詳細③ ── 想定される被害は「ゲートウェイ」では止まらない
攻撃が成功すると、攻撃者はLiteLLMプロキシのプロセスとして任意のコマンドを実行できる。被害はサーバー1台の乗っ取りにとどまらない。LiteLLMが束ねている各プロバイダーの認証情報や保存済みAPIキーの窃取、そこを足がかりにした横移動（lateral movement）、そして連携するAIインフラ全体の侵害まで、一直線につながりうる。
AIゲートウェイは性質上、多数の鍵を1か所に集約している。だからこそ「1点突破」が組織のAIオペレーション全体を危険にさらす。エンタープライズのAIパイプラインの中核を担っているケースほど、影響は深刻になる。CISAがKEVカタログに登録し、明確な修正期限を切ったのも、こうした波及力の大きさと、実際の悪用が観測されている事実を重く見たからにほかならない。
影響・今後 ── 利用者が「いますぐ」やるべきこと
対策の結論はシンプルだ。LiteLLMをバージョン1.83.7以降へ即座にアップデートすること。修正版では、問題のテスト用エンドポイントに管理者ロール（PROXY_ADMIN）を必須化し、Starletteへの依存も更新された。あわせて、Starlette自体も1.0.1以降へ引き上げることが推奨される。なお1.83.7では、別途報告されていたSQLインジェクション（CVE-2026-42208）も同時に修正されている。
すぐにバージョンを上げられない場合の暫定的な緩和策としては、リバースプロキシやAPIゲートウェイの側で前述の2つのエンドポイントをブロックすること、保存済みの認証情報・APIキーをローテーションすること、ログ上で不審なHostヘッダーや想定外のサブプロセス起動を監視することが挙げられる。とりわけ、インスタンスをインターネットに公開している場合は最優先で対応すべきだ。外部から到達できる状態は、そのまま「無認証RCEの射程内」を意味する。
より構造的な教訓もある。MCPのように「サーバー構成をそのまま受け取って試す」拡張ポイントが増えるほど、攻撃対象面（アタックサーフェス）は広がる。ユーザー入力から command を受け取って実行する以上、最小権限の原則と厳格な権限分離は設計段階の前提であるべきだった。便利な中央集権型ゲートウェイを採用する際は、「どこに鍵が集中し、どこが外部から叩けるのか」という攻撃面の棚卸しが、ツール選定と同じくらい重要になる。
まとめ
CVE-2026-42271は実在し、すでに実環境で悪用されている（CISA KEV登録済み）。単独では認証済みのコマンド実行にとどまるが、Starletteの「BadHost」（CVE-2026-48710）と連鎖することで、無認証のリモートコード実行（CVSS 10.0）へと跳ね上がる。影響範囲はLiteLLM 1.74.2〜1.83.6。対策は1.83.7以降への即アップデートと、Starlette 1.0.1以降への更新、そして公開インスタンスでの到達経路の遮断と鍵のローテーションだ。
生成AIの導入競争のなかで、「とりあえず動けばいい」と立てた検証用のLiteLLMが、公開状態のまま放置される──。それが最も危ういパターンである。AIの利便性を享受する裏側で、その「蛇口」が誰にでも開いていないか。いまこそ、自分たちの環境を点検すべきタイミングだ。
参考ソース
- The Hacker News「LiteLLM Flaw CVE-2026-42271 Exploited in the Wild」（2026年6月）: https://thehackernews.com/2026/06/litellm-flaw-cve-2026-42271-exploited.html
- Horizon3.ai「CVE-2026-42271 Chained with CVE-2026-48710」（2026年6月）: https://horizon3.ai/attack-research/vulnerabilities/cve-2026-42271-chained-with-cve-2026-48710/
- cyberpress.org / TokyoBlackHatNews（日本語訳, 2026年6月9日）: https://blackhatnews.tokyo/archives/114688
- note「【緊急】LiteLLMの脆弱性 CVE-2026-42271 が実環境で悪用中」zephel01（2026年6月9日）: https://note.com/zephel01/n/nac3ed38bb018
- JVN iPedia JVNDB-2026-010342: https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-010342.html
- NVD CVE-2026-42271: https://nvd.nist.gov/vuln/detail/CVE-2026-42271
- GIGAZINE「Starlette『BadHost』CVE-2026-48710」（2026年5月27日）: https://gigazine.net/news/20260527-millions-ai-agents-imperiled-vulnerability-starlette/
- GitHub Security Advisory（BerriAI/litellm）: https://github.com/BerriAI/litellm/security/advisories/GHSA-v4p8-mg3p-g94g