AI生成の偽CVEが大量登録——SQLiteの「CVSS 10.0緊急脆弱性」は捏造、JFrogが55件中54件を検証

2026年8月6日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「脆弱性データベース（NVD）に載っているCVEは、ちゃんと検証されてるんじゃないでしゅか？」
「AIが偽の脆弱性情報を量産して公式DBに登録されてるって……信じてパッチ対応してたら大変でしゅよ！」

チップス

NVDに載ったCVEにCVSSスコアまで付いてたら、本物だと思うでしゅよ？まさか捏造なんて考えないでしゅよ……

ボス

それが問題の核心だな。CVEの提出には実質的な本人確認も技術検証も義務付けられていない。AIで量産された捏造CVEが公式DBに入り込む構造が生まれている

セキュリティ企業JFrogは2026年7月30日、あるGitHubリポジトリが短期間で投稿した55件のCVEのうち54件が完全な捏造だったと報告した。
SQLite関連の「CVE-2026-51302」はNVDに登録され、Red Hatが当初CVSSスコア10.0（最高値）を付与するまでに至った。
JFrogによる技術検証で存在しないコードへの参照や動作しないPoCなど多数の矛盾が確認され、AI生成コンテンツ検出ツールによる分析でもAI生成と判定された。

1つのGitHubリポジトリが短期間に投稿した55件のCVEのうち54件は捏造で、SQLite関連のCVEがNVDにCVSSスコア付きで登録されていた
SQLiteの「CVSS 10.0緊急脆弱性」は存在しない関数への参照・失敗するPoCで構成された完全な捏造
2024年2月以降NISTの精査体制が変わり、CVEの「検証なし」登録が事実上可能になっている

組織が存在しない脆弱性への対応に追われることは、セキュリティリソースの深刻な浪費につながる。CVEへの盲目的な信頼を今こそ見直すときだ。

オススメ案件

新着案件をもっと見る

何が起きたのか——55件中54件が捏造のCVEがNVDに登録

JFrogのセキュリティ研究チームは、GitHubリポジトリ「programmervuln/cveadvisory-」が短期間で投稿した55件のCVEを精査した。
SQLite関連のCVEを中心にNVDに掲載され一部にはCISAが追加情報（エンリッチメント）を付与していたが、JFrogの広範な監査で54件が完全な捏造だと判明した。

SQLiteの「CVSS 10.0」は何が問題だったのか

CVE-2026-51302はSQLite 3.41に影響するUse-After-Free（UAF）脆弱性として登録され、Red Hatが当初CVSS 10.0（最高値）のスコアを付与した。
JFrogが技術的検証を行った結果、以下の問題が確認された。

検証項目	結果
報告に記載された関数「exprComputeOperands()」の存在	SQLite 3.41には存在しない（2025年中盤に追加された関数）
「sqlite3ReleaseTempReg()」によるUAF発生可能性	設計上UAFは不可能で、報告の前提が誤り
提供されたPoCの実行結果	クラッシュは発生せず正常完了
SQLite公式サイトへの記載	掲載なし

AI生成コンテンツ検出ツール（Gptzero）による分析でも勧告文書はAI生成と判定された。
NVDの公式ページでは、CVE-2026-51302は2026年7月31日にRejectedとなり、CVSSスコアはN/Aとなっている。