チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「社内でDifyを使ってLLMアプリを作っているけど、安全に運用できているの？」
「テナント越境って、他社の会話が見えちゃうってこと？」
チップスボス、DifyってLLMアプリの開発基盤でしゅよね？ そこにクリティカルな脆弱性が出たって本当でしゅか？
ボスうむ、5月19日に2件公表された。CVE-2026-41948のパストラバーサルと、CVE-2026-41947の認可バイパスだ。
本記事ではLLMアプリ開発基盤「Dify」に判明した2件の脆弱性を整理し、テナント越境がもたらすリスクと優先対応を解説します。
マルチテナントでLLMサービスを運用する企業にとって、見過ごせない事案です。
続きを読めば、Difyを社内導入している組織が今すぐ確認すべき点と、マルチテナント設計の落とし穴が見えてきます。
オススメ求人・フリーランス案件
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
セキュリティエンジニア（PM/PL候補）【年収500-1000万】AWS/Azure経験を活かす
セキュリティエンジニア｜インフラ運用からのキャリアチェンジ（年収350～500万）
セキュリティエンジニア（iOS）【年収700～900万】
どちらの脆弱性も、本来テナント単位で隔離されるべき情報や操作が越境してしまう構造的な問題です。
LLMサービス特有のリスクが顕在化したケースとして注目されます。
PluginデーモンのREST APIで、転送リクエストの操作が可能となるパストラバーサル脆弱性です。
テナントUUIDを把握している攻撃者が、タスク識別子やファイル名を細工することで、本来公開されない内部エンドポイントへアクセスできます。
テナント分離が前提のSaaS型運用では、テナントUUIDの漏洩自体が即座に攻撃成立条件になり得る点が深刻です。
2件の脆弱性の概要は次のとおりです。
| CVE | 種別 | 影響 |
|---|---|---|
| CVE-2026-41948 | パストラバーサル | Pluginデーモン経由で内部APIへアクセス |
| CVE-2026-41947 | 認可バイパス | 他テナントのトレース設定変更、LLMメッセージ転送 |
| 対象バージョン | Dify 1.14.1 以前 | |
編集者権限レベルで、トレース設定エンドポイントにおけるテナント所有権の確認に不備があります。
他テナントのアプリケーションのトレース設定を変更でき、LLMとのメッセージが第三者のLLMトレースプロバイダに転送される構造です。
顧客との対話履歴や社内向けFAQの問い合わせ内容など、機密性の高い文字列がそのまま外部に流出するシナリオが現実に存在します。
チップス会話の内容がまるごと外に流れるって、業務利用だとかなり怖いでしゅ…
ボスうむ、社内ヘルプデスクや顧客対応に組み込んでいると、個人情報や契約情報まで漏れかねない。
セルフホスト型のLLM基盤は、便利な反面、運用責任が利用者側に強くのしかかります。
今回の脆弱性を機に、運用体制を見直すきっかけにしましょう。
Dify 1.14.1以前を運用している場合は、まず最新版へのアップデートを最優先で進める必要があります。
同時に、トレース設定エンドポイントへの過去アクセスログを点検し、不審なテナント間操作の痕跡がないか確認するべきです。
LLMトレース転送先（Langfuse、LangSmithなど）の設定が改ざんされていないかも、テナントごとに確認するのが安全です。
当面の対応事項を整理します。
LLMアプリの開発基盤は、外部のLLM API・ベクターデータベース・トレース基盤など複数の外部サービスと密結合しています。
今回のように設定の改ざんで「正規の外部サービス」に情報を流す経路を作れば、検知が極めて難しくなります。
ログ収集対象を社内資産だけでなく、SaaS連携先の設定変更履歴まで広げる発想が求められる時代に入っています。
チップス外部のLLMトレースサービスまで監視するって、結構大変でしゅね…
ボスうむ、しかしAI時代のセキュリティは、自社の境界の外にも視野を広げる必要がある。
マルチテナント型LLM基盤は、ひとつの設計ミスが全顧客に波及します。
Dify利用者が押さえるべきポイントを整理します。
チップステナントUUIDも秘密扱いにしなきゃダメなんでしゅね。勉強になりました！
ボスうむ、設計時の「公開してよい識別子」と「内部のみで使う識別子」を分けて考える癖をつけよ。
詳しい情報はSecurity NEXTの報道とDify公式のセキュリティアドバイザリを参照してください。
オススメ求人・フリーランス案件
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
セキュリティエンジニア（PM/PL候補）【年収500-1000万】AWS/Azure経験を活かす
セキュリティエンジニア｜インフラ運用からのキャリアチェンジ（年収350～500万）
セキュリティエンジニア（iOS）【年収700～900万】
