Open WebUI が他人のセッションでコードを実行できる（CVSS 9.0）

Critical（CVSS 9.0）に分類されるOpen WebUI Open WebUI 0.10.0 未満の脆弱性です。Open WebUI は自分のサーバに置いて使う LLM のフロントエンドである。0.10.0 より前のバージョンで、`get_event_call` が `execute:python` と `execute:tool` の Socket.IO イベントを、クライアントが指定した `session_id` へそのまま配送していた。 このとき行われていた確認は「そのセッションが接続中かどうか」だけで、**指定されたセッションが本当に自分のものかを確認していなかった**。認証済みの利用者は、`ydoc:document:join` を通じて他人のソケットIDを知ることができるため、そのIDを指定して他人のセッション上でコードインタプリタの Python やツールを走らせられた。 NVD の CVSS 3.1 基本値は、当初 GitHub Security Advisory 由来の 7.7（AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N）だったが、NVD 自身の評価が 9.0（AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H）として付与され、深刻度は High から Critical に上がった（2026年8月3日の再点検で確認）。上がった理由は2点で、**攻撃条件の複雑さが高い（AC:H）から低い（AC:L）へ**、**可用性への影響が無し（A:N）から高（A:H）へ**変わったことである。前者は「特殊な条件が揃わないと成立しない攻撃」ではなく、条件を満たせば素直に再現できる攻撃だと評価し直されたことを意味する。**スコープが変更（S:C）**である点は変わっておらず、影響が攻撃者自身の権限の外へ出ることを示している。必要な権限は低い（PR:L）＝ログインできる利用者なら足りる。なお GitHub Advisory 側の 7.7 も NVD 上に併記されたままなので、どちらの数字を見ているかで評価が食い違って見えることがある。運用では**高いほうの 9.0 を前提に**扱うのが安全である。 影響を受けるのは 0.10.0 より前のすべてのバージョンで、修正版は **0.10.0** である（NVD の版レンジは versionEndExcluding=0.10.0）。GitHub のセキュリティアドバイザリは GHSA-74h3-cxq7-vc5q、修正コミットは 386ac95 である。 NVD の公開日は 2026年7月9日、最終更新は 2026年7月13日、vulnStatus は Analyzed。2026年8月2日時点で CISA KEV カタログには収載されていない。

まず該当するかを切り分ける。`docker exec <container> cat /app/backend/open_webui/env.py` などでバージョンを確認するか、管理画面の設定からバージョン表示を見る。0.10.0 未満なら対象である。 次に、影響の大きさは**誰がログインできるか**で決まる。この欠陥は認証済みの利用者を起点にするため、社内の限られた人しかログインできない構成なら、想定する攻撃者は「社内の他の利用者」になる。逆に、サインアップを開放している構成では任意の第三者が起点になりうるので、優先度は跳ね上がる。`ENABLE_SIGNUP` を有効にしたまま公開している場合は最優先で対応する。 恒久対応は **0.10.0 以降へ更新する**ことである。コンテナで動かしているなら `ghcr.io/open-webui/open-webui` のタグを 0.10.0 以降に上げ、再作成する。 更新前の緩和策としては、(1) コードインタプリタ機能とツール実行を管理画面で無効にする、(2) 新規サインアップを止め、既存利用者を棚卸しして不要なアカウントを無効化する、の2つが効く。どちらも「認証済み利用者が起点」という前提を細くする方向の対処である。ネットワーク側で塞ぐのは、正規の利用者が起点になるため効果が薄い。 検知は、コードインタプリタの実行ログを見るのが第一である。実行の主体（どの利用者のセッションで走ったか）と、その利用者が実際にその時間に操作していたかを突き合わせる。自分が実行していない Python がそのセッションで走っていれば、それがこの欠陥の痕跡になる。Socket.IO のイベントログを取っている場合は、`ydoc:document:join` の直後に他セッション宛の `execute:python` が出ていないかを確認する。

Open WebUI Open WebUI 0.10.0 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-59216）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。