何が起きたか
Kongのエンタープライズ/AIゲートウェイにおける一連のカタログ化された高深刻度の欠陥（2026年11月10日公開）は、LLM向けコントロールプレーンに影響します：LLM使用量カウンターにおける細工されたモデル名を通じたSQLインジェクション（CVE-2026-92544）、1つのホスト名/呼び出し元/リクエストのためにキャッシュされたレスポンスが別のものに提供されることを可能にする複数のキャッシュキー欠陥（CVE-2026-92545、123041、92443、92558）、正規表現Route上のX-Forwarded-Prefixを介したCR/LFヘッダーインジェクションとリクエストスモグリング（CVE-2026-92441）、およびai-azure-content-safetyプラグインがインメモリバッファより大きいボディをスキップするバイパス（CVE-2026-96437）。
なぜ重要か
Kong AI GatewayはLLMバックエンドの前に位置し、クライアントとモデル間の信頼境界そのものです。キャッシュキー/認証欠陥は、あるテナントのLLMレスポンスを別のテナントに漏洩させる可能性があります。使用量カウンターのSQLiは請求/メタデータを改ざんする可能性があります。コンテンツセーフティバイパスは、プロンプトインジェクションや悪意のあるプロンプトがAzure AIモデレーションを回避することを可能にします。ヘッダースモグリングは上流のモデルプロバイダーに到達する可能性があります。これらは、AIデプロイメントに対するゲートウェイの機密性とコンテンツセーフティの保証を直接損なうものです。
攻撃経路
細工されたクライアントリクエストがゲートウェイに到達します：(a) 細工されたモデル名がLLM使用量カウンターでSQLインジェクションを引き起こす（CVE-2026-92544、CVSS 8.7）；(b) proxy-cacheキーがリクエストホスト名を省略（92545）、コールアウトヘッダーを省略（123041）、セパレータ文字をエスケープしない（92558）、およびAuthorization/Proxy-Authorizationを運ぶリクエストのためにキャッシュエントリを再利用する（92443） — すべて、1つの呼び出し元/ホスト名のためにキャッシュされたレスポンスが別のものに提供されることを可能にします；(c) 正規表現Route上のデコードされたCR/LFがX-Forwarded-Prefixに配置され、上流へのHTTPヘッダーインジェクション/リクエストスモグリングを可能にします（92441）；(d) ai-azure-content-safetyプラグインがインメモリバッファより大きいボディの検査をスキップし、プロンプトが入力コンテンツセーフティチェックを回避することを可能にします（96437）。
影響を受けるシステム
Kong Gateway EnterpriseおよびKong AI Gateway（キャッシングプラグインproxy-cache/proxy-cache-advanced、リクエストコールアウトプラグイン、ai-azure-content-safetyプラグイン、正規表現RouteのX-Forwarded-Prefix処理、LLM使用量カウンター）。AI Gateway / Gatewayのチェンジログによると、2026年11月のKongリリースで修正されました。
緩和策
Kong Gateway Enterprise / AI Gatewayを2026年11月のチェンジログの修正リリースにアップグレードしてください。proxy-cacheキー構築を確認し、認証済みルートでのキャッシングを無効化/制限し、モデル名を検証し、コンテンツセーフティ検査を境界設定またはサイズ制限し、正規表現Routeのパス正規化を厳格に適用してください。パッチ適用済みバージョンについてはdeveloper.konghq.com/ai-gateway/changelogを参照してください。