LiteLLMの重大な脆弱性によりOpenAIとAnthropicのAPIキーが漏洩

2026年7月9日（UTC）、大規模言語モデルとの接続を管理する企業システムにセキュリティ警告が発令されました。CVE-2026-42271として登録された技術的な脆弱性レポートにより、AIリクエストを統合するオープンソースゲートウェイLiteLLMに深刻なセキュリティホールが判明しました。このアクティブなエクスプロイトにより、攻撃者はOpenAIやAnthropicなどのプロバイダーが企業サーバーに保存するプライベートAPIキーを不正に抽出できます。

データベースの欠陥による管理者認証情報の漏洩

このサイバーセキュリティの脆弱性は、ゲートウェイプロキシにおける管理リクエストの内部検証の欠如に起因します。この権限検証の論理エラーの直接的な結果として、外部ネットワークのユーザーはシステム内部データベースのテーブルに対して読み取り呼び出しを強制できます。暗号化されていないトラフィックにより、企業の統合AIマイクロサービスに使用される本番認証情報が露呈します。一方、サイバーセキュリティ運用チームは、不正なAPI使用による高額な金銭的請求のリスクにさらされる中、漏洩したキーをローテーションするために時間と競争しています。しかし、自己ホスト型インスタンスを使用するシステム管理者は、過去のアクセスを追跡し、機密の企業データが既に流出したかどうかを特定するのに苦慮しています。この問題は、トラフィックゲートウェイへのシークレット集中管理の是非を問うものとなっています。

この脆弱性の悪用結果として、影響を受ける企業の正当なAIトラフィックが乗っ取られる可能性があります。実際には、LiteLLMの論理的な欠陥により、統合ツールが企業セキュリティの単一障害点と化しています。

パッチ適用の指示と露出したキーの即時封じ込め

この漏洩の影響を軽減するには、プロジェクトメンテナが提供する公式の修正パッチを直ちに適用する必要があります。その背後で、大規模なセキュリティチームは管理ポートへの未認証の外部リクエストを防ぐため、ゲートウェイサーバーを隔離されたサブネットに分離する計画を立てています。ネットワークアナリストの目標は、堅牢で安全な入力トラフィックのバリアを確立することです。

テーブル制限の修正を含むソフトウェアの安定版は、本日午後にリリースされました。コンピュータエンジニアリング部門への即時指示は、すべての旧バージョンのインスタンスを無効化し、アクティブなアクセスキーを直ちに失効させることです。