Crawl4AIの脆弱性解説はまとめ記事に統合しました
AIにWebページを読み込ませる人気ツール『Crawl4AI』に、ログインなしでサーバーを乗っ取られる重大な欠陥が見つかりました。深刻度はCVSS 9.8。自分のサーバーで動かすDocker版で、利用者を確認する『合鍵』が製品に固定で埋め込まれており、誰でも管理者になりすませます。修正版0.8.7が出ており、自分で運用している場合は早急な更新が必要です。
ニュース2026年6月22日公開最終更新 2026年7月24日
目次
この記事のポイント
AIにWebページを読み込ませる人気ツール『Crawl4AI』に、ログインなしでサーバーを乗っ取られる重大な欠陥が見つかりました。深刻度はCVSS 9.8。自分のサーバーで動かすDocker版で、利用者を確認する『合鍵』が製品に固定で埋め込まれており、誰でも管理者になりすませます。修正版0.8.7が出ており、自分で運用している場合は早急な更新が必要です。
この記事で扱っていたCrawl4AIの脆弱性（CVE-2026-56265・57571・57572・57573ほか）の解説は、同じ製品の脆弱性を1本で追えるまとめ記事「AIクローラーCrawl4AIの脆弱性、安全なのは0.9.2以降」に統合しました。最新の状況・安全なバージョン・対処手順はそちらで確認してください。
要点のみ記すと、0.9.0より前のCrawl4AI（特にDocker APIサーバー構成）には、無認証のコマンド実行（CVE-2026-57572、CVSS 10.0）を含む複数の重大な欠陥があります。確実に塞ぐには最新の0.9.2以降への更新が必要です。
堀川 慎
Backend Engineer / AWS / Django / Go