NVDやCISA ADPが深刻度付きで登録したSQLiteの複数のCVEについて、JFrogが検証した結果、根拠となるアドバイザリの内容に多数の不整合が見つかり、生成AIによる誤情報である可能性が浮上した。実際のソースコードやPoCを検証しても脆弱性は再現できず、CVE情報の信頼性に疑問が投げかけられている。 問題となったのはGitHub上に新規作成された「programmervuln/cveadvisory-」リポジトリで公開されたSQLiteを含む50件以上のCVEアドバイザリである。NVDはこれらを重大な脆弱性として登録し、CISA ADPも評価したが、JFrogの調査ではアドバイザリが存在しない関数を引用していたり、対象バージョンに存在しないコードを根拠としていたり、無関係な処理を脆弱性として説明している例が確認された。PoCを公式SQLiteソースからビルドした環境でAddressSanitizerを用いて実行してもクラッシュは再現せず、SQLite公式の脆弱性一覧にも掲載されていなかった。また、アドバイザリ全体をGPTZeroで解析したところ、AI生成コンテンツと判定される結果になったという。対象にはCVE-2026-51302、CVE-2026-51303、CVE-2026-51300、CVE-2026-51297、CVE-2026-51296、CVE-2026-51304などが含まれ、存在しない関数や誤った修正内容、無関係なコード行などが記載されていた。さらにCVE-2026-51302は、当初CVSS 10.0として登録された後、7.6へ引き下げられていることも確認された。 https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/
Post summary
JFrog’s investigation uncovered numerous inconsistencies in the SQLite CVE advisories, suggesting many entries are likely AI-generated misinformation rather than genuine vulnerabilities; no reproducible PoC, patches, or active exploitation were reported.