Een kritieke kwetsbaarheid in SQLite waardoor het uitvoeren van code mogelijk was blijkt gehallucineerd te zijn door AI. Het CVE-nummer van het beveiligingslek, CVE-2026-51302, is inmiddels ingetrokken. De CVSS-impactscore van het 'probleem' was oorspronkelijk beoordeeld met een 10.0 op een schaal van 1 tot en met 10. SQLite is een serverless SQL database engine. Volgens de ontwikkelaars wordt er op grote schaal gebruik van gemaakt en draaien er miljarden installaties van de software, die onder andere aanwezig is in smartphones, browsers, televisies, besturingssystemen en nog tal van andere platforms.

Een kritieke kwetsbaarheid in SQLite waardoor het uitvoeren van code mogelijk is zou dan ook grote gevolgen kunnen hebben. Nu blijkt het geclaimde beveiligingslek niet te bestaan. Het CVE-nummer was door een Common Vulnerabilities and Exposures (CVE) Numbering Authority (CNA) uitgegeven en zonder verdere controle door MITRE iopgenomen, zegt SQLite-ontwikkelaar Richard Hipp. MITRE is de organisatie die het CVE-nummer bedacht en de bijbehorende database bijhoudt.

Door het CVE-nummer is het eenvoudiger om kwetsbaarheden te volgen, informatie uit te wisselen en beveiligingsproducten te beoordelen. Het CVE-nummer begint met de letters CVE, gevolgd door een jaartal en een getal van vijf cijfers. CVE-nummers worden uitgegeven door een CNA. CNA's kunnen een CVE-nummer registreren voor een actueel beveiligingslek, maar het is ook mogelijk om een reeks van CVE-nummers te reserveren en die pas op een later moment te gebruiken. Hipp merkt op dat hij allerlei moeite moest doen om CVE-2026-51302 ingetrokken te krijgen.

Volgens cybersecuritybedrijf JFrog Security en opensourcebedrijf SuSE zijn CVE-2026-51302 en allerlei andere kwetsbaarheden door AI gehallucineerd. "Vertrouw niet blindelings op uitgegeven CVE-nummers. Controleer de advisory, proof-of-concept en bron voordat je prioriseert of patcht", aldus JFrog Security. Ook het Nationaal Cyber Security Centrum (NCSC) dat eerder met een waarschuwing voor de kwetsbaarheid kwam heeft die ingetrokken: "CVE is door een LLM gehallucineerd", aldus de overheidsinstantie.