LiteLLMの脆弱性：CVE-2026-35029、サイバー攻撃の悪用確認　

AI Gateway「LiteLLM」に存在する権限チェック不備CVE-2026-35029について、セキュリティ企業Zenity Labsは2026年9月、実環境での悪用試行をハニーポットで確認したと公表しました。

CVE-2026-35029は、LiteLLMの管理API /config/update に管理者権限の確認が不足していた脆弱性です。1.83.0未満が影響し、1.83.0で修正されています。

脆弱な環境では、認証済みの低権限ユーザーが本来管理者だけに許可される設定変更を実行でき、ローカルファイルの読み取り、環境変数などに保存された秘密情報の取得、管理者アカウントの乗っ取り、最終的には任意コード実行につながる可能性があります。

Zenity Labsによると、2026年2月から6月までにLiteLLMの管理APIを狙う約3,900件のリクエストを73のIPアドレスから観測し、そのうち約1,000件が /config/update を標的としていました。

4月7日には同エンドポイントへの試行を確認し、5月5日から12日にかけてはCVE-2026-35029の悪用手法と一致するファイル読み取り試行を観測しています。

一方、Zenityが観測した攻撃トラフィックの大半では、低権限ユーザーの有効な認証情報が使われていたわけではありません。認証情報なし、またはLiteLLMのドキュメント等で例示されるような既知のデフォルトキーを試すアクセスが多数を占めていました。

このため、「読み取り専用アカウントさえあれば全LiteLLM環境を乗っ取れる」という理論上の脆弱性条件と、「認証設定が不十分なインターネット公開環境が実際に狙われている」という攻撃観測は分けて理解する必要があります。

セキュリティ対策Labでは2026年4月に、CVE-2026-35029と認証回避につながるCVE-2026-35030をすでに取り上げています。今回のZenity Labsの調査によって、CVE-2026-35029については「悪用可能」から「実攻撃で悪用試行が確認された」段階へ状況が変わりました。

CVE-2026-35029のサマリー

• 対象はAI Gateway「LiteLLM」です。
• CVE番号はCVE-2026-35029です。
• 影響バージョンは1.83.0未満です。
• 修正版は1.83.0です。
• 脆弱性は管理API /config/update の権限チェック不備です。
• CWEはCWE-863「Incorrect Authorization」です。
• GitHub AdvisoryのCVSS v4.0は8.7（High）です。
• 認証済みの低権限ユーザーが、本来管理者専用の設定変更を実行できる可能性があります。
• 悪用されると、プロキシ設定や環境変数の変更、ローカルファイル読み取り、秘密情報の取得、管理者アカウント乗っ取り、RCEにつながる可能性があります。
• Zenity Labsは2026年2～6月にLiteLLM管理APIへの約3,900件のリクエストを73 IPから観測しました。
• 約1,000件が /config/update を標的としていました。
• 4月7日には /config/update への試行を確認しました。
• 5月5～12日にはCVE-2026-35029のファイル読み取り手法と一致する攻撃試行を確認しました。
• Zenityは実際のファイル読み取り攻撃を観測したと明記しています。
• 観測されたトラフィックの多くは、認証なしまたは既知のデフォルト／例示用マスターキーを試すものでした。
• Zenityは、実際に低権限キーが悪用された通信は観測していないと説明しています。
• 9月3日時点でCISA KEVへの掲載は確認できませんでした。
• 対策はLiteLLM 1.83.0以降への更新です。
• 更新だけでなく、過去に脆弱版をインターネット公開していた場合はAPIキーやデータベース認証情報等のローテーションも検討する必要があります。

項目	内容
CVE	CVE-2026-35029
製品	LiteLLM
影響バージョン	1.83.0未満
修正版	1.83.0
種別	権限チェック不備／権限昇格
CWE	CWE-863
CVSS v4.0	8.7（High）
攻撃条件	原則として認証済みユーザー
影響	設定変更、ファイル読み取り、秘密情報取得、管理者奪取、RCE
実悪用	Zenity Labsが攻撃試行を確認
観測期間	2026年2月～6月
管理APIへの観測	約3,900件／73 IP
/config/update	約1,000件
ファイル読み取り試行	5月5～12日に確認
CISA KEV	9月3日時点で掲載確認できず
対応	1.83.0以降へ更新、認証設定確認、必要に応じ秘密情報をローテーション

LiteLLMは複数のLLMを束ねるAI Gateway

LiteLLMは、OpenAI、Anthropic、Google Gemini、AWS Bedrockなど複数のLLMプロバイダーを共通のAPIで利用できるAI Gatewayです。

企業環境では、アプリケーションから各AIサービスへの通信をLiteLLM経由に集約し、

• APIキー管理
• 利用者管理
• モデル管理
• 利用額・トークン管理
• アクセス制御
• ロギング
• プロキシ設定

などを一元化できます。

そのため、LiteLLMの管理プレーンには、AIプロバイダーのAPIキー、データベース接続情報、監視・可観測性サービスの認証情報など、複数システムへ影響し得る秘密情報が集まりやすくなります。

Zenity Labsは、AI Gatewayを「その背後にあるすべての鍵を持つ高価値な攻撃対象」と位置付けています。

CVE-2026-35029は管理APIの権限チェック不備

CVE-2026-35029は、LiteLLMの /config/update エンドポイントに適切な管理者権限チェックが実装されていなかった脆弱性です。

GitHub Security Advisoryによると、認証済みユーザーであれば、管理者ロールを持たなくても同エンドポイントへアクセスできる状態でした。

その結果、本来は管理者だけが変更すべき、

• プロキシ設定
• 環境変数
• 外部転送設定
• 管理画面関連設定

などを低権限ユーザーが変更できる可能性がありました。

修正版1.83.0では、/config/update を実行するために proxy_admin ロールを要求するよう変更されています。

ファイル読み取りから秘密情報取得へ

LiteLLMでは、管理画面のロゴとしてサーバー上のファイルを指定できる設定が存在します。

Zenity Labsは、この仕組みとCVE-2026-35029を組み合わせることで、攻撃者がサーバー上の任意ファイルを読み取れる可能性を確認しています。

攻撃対象となり得るのは、AIプロバイダーのAPIキー、LiteLLMのマスターキー、データベース接続情報、AWS認証情報、可観測性サービスの秘密情報などです。

本記事では、具体的なリクエストや再現手順は掲載しません。

重要なのは、単なる管理画面の表示変更ではなく、AI Gateway上に保持される複数システムの秘密情報へ影響が広がる可能性がある点です。

管理者アカウントの乗っ取りも可能

GitHub Security AdvisoryとZenity Labsは、CVE-2026-35029を利用してLiteLLMの管理画面用認証情報を書き換えられる可能性も説明しています。

これが成立すると、攻撃者自身が設定した認証情報で管理画面へログインし、管理者権限を取得できる可能性があります。

管理者権限を得た場合、利用者、APIキー、モデル、設定などLiteLLMの管理対象全体へ影響が及ぶ可能性があります。

そのため、CVE-2026-35029は単なる「設定変更権限の不備」ではなく、AI Gateway全体の侵害につながり得る脆弱性として評価されています。

最終的にはRCEにつながる可能性

LiteLLMのGitHub Advisoryでは、CVE-2026-35029によって外部のコードを参照するカスタムのパススルー設定を登録し、リモートコード実行につながる可能性も説明されています。

つまり、影響は管理画面の乗っ取りや秘密情報の漏えいだけではありません。

条件がそろえばLiteLLMを実行するサーバー上でコード実行に至る可能性があります。

このためGitHub Advisoryは、機密性・完全性・可用性への影響をいずれも高く評価しています。

Zenityが約3,900件の管理APIアクセスを観測

Zenity Labsは2026年2月から6月にかけて、AIインフラを対象としたハニーポットでLiteLLMへの攻撃を観測しました。

その結果、LiteLLMの管理APIに対し、73のIPアドレスから約3,900件のリクエストを確認しています。

そのうち約1,000件がCVE-2026-35029の対象となる /config/update に向けられていました。

単なるWebスキャンだけでなく、

• 認証情報の推測
• APIキー・ユーザー情報の列挙
• 新規認証情報の生成試行
• 管理APIの探索
• 設定変更
• ファイル読み取り
• モデル削除を狙ったリクエスト

など、複数種類の活動が観測されています。

Zenityは、送信元ごとに狙う管理APIが異なることから、単一の無差別スキャナーによる一様な通信ではなかったと評価しています。

公開翌日に /config/update への試行

CVE-2026-35029のCVEレコードは2026年4月6日に公開されました。

Zenity Labsは、その翌日の4月7日に /config/update を標的とするアクセスをハニーポットで確認したとしています。

ただし、この4月7日の通信すべてがCVE-2026-35029の悪用に成功したことを意味するわけではありません。

Zenityが「実際のCVE-2026-35029の悪用」として明確に位置付けているのは、その後に観測したファイル読み取りの試行です。

脆弱性公開から攻撃者による探索・悪用試行までの期間が非常に短かった点は、AIインフラでも脆弱性公開後の対応速度が重要であることを示しています。

5月にファイル読み取り攻撃を実際に確認

Zenity Labsは5月5日から12日にかけて、CVE-2026-35029のファイル読み取り手法と一致するリクエストを観測しました。

攻撃者はLiteLLMが配置される環境で秘密情報が保存されていそうなファイルを狙っており、ZenityはこれをCVE-2026-35029の実際の悪用試行として説明しています。

研究チームはさらに、観測した攻撃を基に、脆弱なLiteLLM 1.74.0を使用した検証環境で、ファイル読み取りから秘密情報取得、管理者アカウント奪取までの一連の影響を再現しています。

したがって、今回の続報ではCVE-2026-35029を「理論上悪用可能な脆弱性」に留めるのではなく、「実環境で悪用試行が観測された脆弱性」として扱う必要があります。

「低権限アカウントが悪用された」とは限らない

今回のZenity Labsの調査では、注意して読むべき点があります。

CVE-2026-35029そのものは、認証済みの低権限ユーザーが管理者専用設定を変更できる脆弱性です。

一方、Zenityがハニーポットで観測した通信では、有効な proxy_admin_viewer のような低権限認証情報が実際に使われていたケースは確認していないとしています。

観測されたトラフィックの多くは、

• Authorizationヘッダーなし
• ドキュメント等で使われる例示用マスターキー
• 推測しやすいデフォルト風のキー

を試すものでした。

LiteLLMはマスターキーを設定していない構成では認証を強制しない場合があるため、インターネット公開と弱い認証設定が組み合わさると、攻撃者が管理APIへ到達しやすくなります。

したがって今回の事案は、

「低権限アカウントを持つ攻撃者による権限昇格」

というCVE本来の問題と、

「認証なし・弱い認証で外部公開された管理APIを攻撃者が探索している」

という運用上の問題が重なっています。

1.83.0以降へ更新

LiteLLM公式のGitHub Security Advisoryは、1.83.0以降への更新を対策として示しています。

1.83.0では /config/update の利用に proxy_admin ロールが必要となり、低権限ユーザーからの設定変更を拒否するよう修正されています。

まだ1.83.0未満を利用している場合は、速やかな更新が必要です。

また、Zenityは管理プレーンをインターネットへ直接公開しないことも推奨しています。

管理UIや管理APIは、

• 社内ネットワーク
• VPN
• 認証済みリバースプロキシ
• アクセス元制限

などの後ろへ配置し、外部から直接到達できない構成を検討すべきです。

過去に公開していた場合は秘密情報のローテーションも検討

脆弱版をインターネットへ公開していた場合、単に1.83.0へ更新して終えるのではなく、過去の侵害有無を確認する必要があります。

Zenityは、脆弱なLiteLLMが公開されていた場合、データベース接続情報、モデルプロバイダーのAPIキー、LiteLLMマスターキー、可観測性サービスのキーなどが取得された可能性を考慮し、ローテーションを推奨しています。

確認対象には、

• LiteLLMの管理APIログ
• /config/update へのアクセス
• 管理者設定の変更履歴
• 不審なユーザーやAPIキー作成
• モデル設定の変更
• 外部パススルー設定
• 認証情報利用履歴
• AIプロバイダー側のAPI利用量・課金

などがあります。

AIプロバイダーのAPIキーが取得されていた場合、LiteLLM自体を修正しても、そのキーは攻撃者側から直接利用され続ける可能性があります。

CISA KEVは9月3日時点で掲載確認できず

Zenity LabsはCVE-2026-35029に一致する実際の悪用試行を確認しています。

一方、9月3日時点ではCISAのKnown Exploited Vulnerabilities（KEV）Catalogへの掲載は確認できませんでした。

KEV未掲載であることは、悪用されていないことを意味しません。

今回はセキュリティ研究者による実環境観測があるため、KEVへの追加を待って対応する脆弱性ではありません。

4月にはCVE-2026-35030も同時に修正

LiteLLMは1.83.0で、CVE-2026-35029だけでなくCVE-2026-35030も修正しています。

CVE-2026-35030は、JWT認証を利用する環境でユーザー情報キャッシュの扱いに問題があり、条件によって認証回避につながる可能性がある脆弱性です。

セキュリティ対策Labでは4月16日の初報で、両脆弱性をまとめて整理しています。

LiteLLM、認証回避とRCEにつながる複数の重大脆弱性を修正（CVE-2026-35030、CVE-2026-35029）

今回新たに実攻撃が確認されたのは、Zenity Labsが詳しく分析したCVE-2026-35029です。

CVE-2026-35030について、今回のZenity調査が同様の実悪用を確認したという情報はありません。

LiteLLMは2026年にサプライチェーン攻撃の標的にも

LiteLLMを巡っては2026年3月、TeamPCPによるサプライチェーン攻撃でも影響を受けています。

悪性化されたTrivyがLiteLLMのCI/CD環境で実行されたことで、PyPI公開用認証情報が窃取されたとみられ、LiteLLM 1.82.7と1.82.8の悪性バージョンが公開されました。

セキュリティ対策Labでは、この一連のサプライチェーン攻撃についても継続して取り上げています。

LiteLLMへサプライチェーン サイバー攻撃、2,500組織・43万件超のCI/CDパイプラインに影響か

今回のCVE-2026-35029はこのサプライチェーン攻撃とは別の問題です。

サプライチェーン攻撃では悪性パッケージを取得・実行した環境が問題となり、CVE-2026-35029では脆弱なLiteLLM管理APIへ到達できる環境が対象になります。

両者を混同しないことが重要です。

AI Gatewayが新たな高価値ターゲットに

LiteLLMのようなAI Gatewayは、企業内の複数アプリケーションと複数AIプロバイダーの間に位置します。

そのため、

• OpenAIやAnthropicなどのAPIキー
• クラウド認証情報
• データベース認証情報
• ユーザー情報
• 利用履歴
• プロンプト履歴
• 利用額
• モデル設定

など、攻撃者にとって価値の高い情報が集約されます。

さらに、AI Gatewayを侵害すると、単なる情報窃取だけでなく、企業のAPIキーを使った不正なAI利用や課金、AIアプリケーションへの通信介入などにつながる可能性があります。

Zenity Labsは別の調査でも、インターネット公開されたLiteLLMやOllamaを第三者がAI推論基盤として無断利用し、攻撃用AIエージェントのバックエンドとして利用しようとする活動を観測しています。

AIインフラでは「モデルそのもの」だけでなく、モデルへ接続するGatewayの管理プレーンも重要な攻撃対象になっています。

情報システム・AI基盤管理部門への示唆

企業でLiteLLMを利用している場合、まずバージョンを確認し、1.83.0未満であれば更新する必要があります。

ただし、今回のように実悪用が観測されている場合は、パッチ適用だけでは不十分です。

過去にインターネットへ公開していた環境では、

• 管理APIが外部から到達可能だったか
• マスターキーを設定していたか
• 例示用・推測可能なキーを使用していなかったか
• 低権限ユーザーへ不要なAPIキーを配布していなかったか
• /config/update への不審アクセスがないか
• 管理者認証情報が変更されていないか
• APIキーやデータベース接続情報が取得されていないか
• AIプロバイダー側に不審な利用・課金がないか

を確認する必要があります。

また、LiteLLMを単なる「AI APIの中継サーバー」と捉えず、ID管理基盤やAPI Gatewayと同様の高権限インフラとして扱うことが重要です。

管理プレーンを外部公開しない、管理者と閲覧ユーザーの権限を分離する、秘密情報を定期的にローテーションする、管理APIの監査ログを保持するといった基本的な統制が必要になります。

今回のCVE-2026-35029では、脆弱性公開から短期間で攻撃者による探索・悪用試行が確認されました。

AI基盤についても、従来のVPN、ファイアウォール、Webサーバーと同様に、脆弱性公表後すぐに資産確認と更新へ移れる運用体制が求められます。

出典

• Privilege escalation via unrestricted proxy configuration endpoint – LiteLLM / GitHub Security Advisory
• CVE-2026-35029 – GitHub Advisory Database
• A Read-Only Account is All it Takes to Own a LiteLLM Server – Zenity Labs
• Known Exploited Vulnerabilities Catalog – CISA
• Hackers Exploit LiteLLM Admin API Flaw to Turn Read-Only Access Into Full Server Takeover – CyberPress
• LiteLLM、認証回避とRCEにつながる複数の重大脆弱性を修正（CVE-2026-35030、CVE-2026-35029） – セキュリティ対策Lab
• LiteLLMへサプライチェーン サイバー攻撃、2,500組織・43万件超のCI/CDパイプラインに影響か – セキュリティ対策Lab