SQLite偽CVE6件、MITRE却下から3週間近く経ってもGitHub Advisory DatabaseはCritical/High表示のまま

TL;DR

前提 SQLiteに対するCVE6件はAI生成とみられる捏造と判明し、MITREが2026年7月31日に一括却下、NVDもRejectedになった(前回の記事)

確認したこと 8月17日にGitHub Advisory Database APIで6件を直接確認すると、いずれも公開当初(7月27〜28日)のCVSSスコアとCritical/High表示のまま。6件ともtypeはunreviewedで、withdrawn_atはすべてnull

放置の理由 unreviewedはNVDフィードからの自動取り込み区分で、GitHubのアナリスト審査を経ていない。8月17日時点で、MITREの却下後に6件とも更新されていなかった

実害の範囲 unreviewedはDependabotアラートを生成しないため、この6件を起点にしたDependabotのセキュリティ更新PRは発生しない。ただしGitHub Advisory Database APIを直接参照するSCAツールや脆弱性スキャナーからは、今もCritical/High表示がそのまま読み取れる

MITREがSQLiteの捏造CVE6件を却下してから3週間近く経った2026年8月17日、GitHub Advisory Database APIで6件を直接確認すると、いずれも公開当初のCVSSスコアとCritical/High表示のままだった。

JFrog Security Researchが2026年7月30日に捏造と暴き、MITREが7月31日に一括却下、NVDのレコードもRejectedになった経緯は前回の記事で書いた。
この却下処理はMITREとNVD側の作業で、そこから情報を取り込む側の他のデータベースがどう動いたかは別問題として残っていた。

GitHub Advisory Databaseは6件とも公開当初のまま

GitHub CLIのgh api /advisories?cve_id=<CVE番号>で6件それぞれを取得すると、いずれもtypeはunreviewedのままだった。

CVE	GHSA	severity	CVSS	最終更新
CVE-2026-51302	GHSA-vrg3-8p22-cwh8	critical	9.8	2026-07-28
CVE-2026-51303	GHSA-ccgc-4g65-v672	critical	9.8	2026-07-27
CVE-2026-51300	GHSA-7jmj-jm53-q38q	critical	9.1	2026-07-28
CVE-2026-51297	GHSA-jwwq-j3wf-76qr	high	8.8	2026-07-27
CVE-2026-51296	GHSA-5hvg-wjm2-j333	high	7.5	2026-07-28
CVE-2026-51304	GHSA-w2f6-h8v8-pw69	high	7.5	2026-07-27

withdrawn_atはすべてnull。
MITREとNVDが却下した7月31日以降、6件のレコードは1件も更新されていない。

unreviewedはGitHubの審査を経ていない

unreviewedはGitHubの用語で、NVDのフィードから自動的に取り込まれただけの区分を指す。
GitHubのセキュリティアナリストによる審査を経ておらず、Dependabotのアラートを生成する対象にもならない。
つまりこの6件を起点にしたDependabotのセキュリティ更新PRは発生しない。

一方で、GitHub Advisory DatabaseはAPI・Web UIとも公開されている。
ここを直接参照するSCA(ソフトウェア構成分析)ツールや脆弱性スキャナーにとっては、unreviewedかどうかに関わらずCVSS9.8やCriticalという表示自体が読み取れる状態が続いている。

却下から3週間近く、更新は確認できなかった

NVDのレコードがRejectedになった後も、8月17日時点でGitHub Advisory Database側の6件に更新は1件もなかった。
少なくとも、この確認範囲では即時反映は起きていない。