SQLiteの重大CVEはLLM生成の偽情報か、JFrogが調査
原題: SQLite Critical CVEs or LLM Slop?
なぜ重要か
LLM生成の偽CVEがNVDやCISAに採用される事例は、脆弱性管理エコシステム全体の信頼性を損なう新たなセキュリティリスクとして業界の注目を集めている。
JFrogのセキュリティ研究者は2026年7月30日、GitHubに新規作成されたリポジトリ「programmervuln/cveadvisory-」が公開したSQLite脆弱性アドバイザリー群について、NVDがCritical評価を付与したにもかかわらず、実際のコードに該当ロジックが存在せず、PoC検証でもクラッシュが発生しないとする調査結果を公表した。
JFrogのセキュリティ研究者Afek Bergerは2026年7月30日、GitHubリポジトリ「programmervuln/cveadvisory-」が公開したSQLite関連CVE群の信頼性に疑問を呈する調査レポートを公開した。
対象となったCVEはCVE-2026-51302、CVE-2026-51303、CVE-2026-51300、CVE-2026-51297、CVE-2026-51296、CVE-2026-51304の6件で、NVDはこれらをCVSSスコア9.8〜7.5と評価。CISA ADPも同様の評価を付与した。Red HatはCVE-2026-51302に当初10.0 Criticalを割り当てたが、調査中に7.6 Highへ引き下げられた。
JFrogの調査手法は、公式SQLiteリポジトリからバージョン3.41.0、3.51.2、3.51.3をチェックアウトしてソースコードと比較、Dockerコンテナ内でビルドし、AddressSanitizer（ASan）を有効にした状態でPoC SQLを実行するというものだった。
調査結果として、CVE-2026-51302が言及するexprComputeOperands()はSQLite 3.41に存在せず、2025年中頃に追加された関数であること、sqlite3ReleaseTempReg()はヒープ解放を行わないためUAFが設計上不可能であることが判明した。他のCVEでも、存在しない関数の参照、矛盾するメタデータ、コードと無関係な行番号の引用など複数の問題が確認された。
さらに、このリポジトリのアドバイザリーをGPTZeroでテストするとAI生成コンテンツの警告が表示され、全アドバイザリーを1ファイルに結合するとAI生成警告が強く出ることも確認された。JFrogは同リポジトリが公開する50件超のCVEのうち、1件を除きLLMが生成した偽の脆弱性情報（LLMスラップ）である可能性が高いと結論付けた。SQLiteの公式アドバイザリーページには該当するCVEは一切掲載されていない。