30秒サマリー
- 米JFrogがSQLite関連CVE6件を検証し、全て存在しない脆弱性と判定
- 55件中54件が完全な捏造と判明、NVDには最高深刻度「緊急」で登録されていた
- NISTの精査体制の変化が背景にあり、偽情報が審査を通過しやすい状況が続く
何が起きたか
米JFrogのセキュリティ研究チームは2026年7月30日（現地時間）、公式ブログにてSQLiteの深刻な脆弱性を主張する一連のCVEを検証した結果、いずれも実在しないことを確認したと報告した。問題の発端は、あるユーザーがGitHubリポジトリで公開した55件の脆弱性情報で、NISTの脆弱性データベース「NVD」はSQLite関連の6件を最高深刻度「緊急（クリティカル）」と評価。そのうち1件については米Red Hatが一時、CVSSスコアの最高値である10.0を付与していた。
JFrogが実際に検証したところ、対象バージョンに存在しない関数の引用、ファイル末尾を超える行番号の記載、実証コードを実行してもクラッシュが発生しないこと、SQLite公式サイトへの掲載がないことなどが確認された。55件全件を監査した結果、54件が完全な捏造と結論付けられた。また、今回の報告をAI生成文章検知サービスで検証したところ、AI生成と判定されたとも報告されている。
JFrogはこの背景として、CVE登録時に本人確認や脆弱性の再現検証が必須とされていないこと、および2024年以降にNISTの精査体制が変化し詳細な分析を停止している点を挙げた。未検証の情報源によるCVEをそのまま信用しないよう、企業・開発者に対して注意を呼び掛けている。
原典ハイライト
JFrogは55件のCVEを全件監査し、54件が完全な捏造と判定。NVDが「緊急」と評価した脆弱性も対象バージョンに存在しない関数を引用するなど技術的に根拠がなく、AI生成検知サービスでもAI生成と判定された。CVE登録プロセスに再現検証が必須でない点と、2024年以降のNIST精査体制の変化が、偽情報の通過を可能にしているとJFrogは指摘している。
出典: ITmedia AI＋（報道）
So What?（なぜ重要か）
AIを使えば技術的にもっともらしい偽の脆弱性情報を大量かつ低コストで生成・登録できることが実証された形だ。NVDやCVEは多くの企業のセキュリティ管理ツールが自動参照する権威ある情報源であり、偽CVEが混入すれば存在しない脆弱性への対応に人員・コストが浪費される。NISTの精査体制が十分でない現状では、データベースの信頼性そのものが揺らぐリスクがある。
日本企業への示唆
日本企業のセキュリティ担当者は、NVDやCVEの情報をそのまま自動取り込みしている脆弱性管理ツールの運用フローを見直す必要がある。具体的には、①高深刻度CVEへの対応前にベンダー公式サイトやセキュリティ専門機関の情報と照合する手順を必須化する、②情報源が単一リポジトリや未確認の個人である場合は追加検証を行うルールを設ける、③社内のパッチ適用判断をCVSSスコアのみに依存しない体制を整えることが有効な備えとなる。NIST精査体制の回復状況も継続的に注視すべきだ。
背景・経緯
CVE（共通脆弱性識別子）はソフトウェアの脆弱性を一意に管理する国際的な識別体系で、NISTが運営するNVDはその詳細情報を集約した主要データベース。原文によれば、2024年以降NISTはNVDにおける詳細な分析を停止しており、登録段階での審査が手薄になっているとJFrogは指摘している。CVE登録自体に本人確認や再現検証を求める仕組みがないことも、今回のような偽情報の大量登録を可能にした要因とみられる。
