Langflowの重大な脆弱性により、認証なしでのリモートコード実行が可能に

IBMは、AIエージェントおよびワークフロー構築用のオープンソースプラットフォームであるLangflowにおける2つの重大なセキュリティ脆弱性を公開しました。これらの欠陥は、バージョン1.0.0から1.12.8までのすべてのリリースに存在し、リモートの攻撃者がアカウントなしで認証を回避したり、影響を受けるサーバー上で任意のコードを実行したりすることを可能にします。唯一の対策は、10月22日にリリースされたバージョン1.13.0へのアップグレードです。

何が起きたか

Langflowは、大規模言語モデルアプリケーションを構築するための視覚的インターフェースとして機能し、開発者がコンポーネントをチェーンして複雑なワークフローを作成できるようにします。これらのワークフローは機密データを扱い、さまざまな外部サービスに接続することが多いため、エンタープライズ展開においてプラットフォームのセキュリティ体制は極めて重要です。プロジェクトの脆弱性レポートを担当するIBMは、10月28日に詳細なアラートを公開し、4つの具体的な欠陥について説明しました。そのうち2つはCVSSスコア9.8の重大（Critical）と評価されています。

最も深刻な問題は、不適切な認証制御とコード生成の不十分な規制に関わるものです。具体的には、CVE-2026-93680により攻撃者はセキュリティ制限を完全にバイパスでき、CVE-2026-110186により任意のコードの実行が可能になります。両方の脆弱性は未認証ユーザーによって悪用される可能性があり、攻撃を開始するために有効なログイン資格情報は必要ありません。もう1つの高深刻度（High Severity）の欠陥であるCVE-2026-110193は、低権限のアカウントを必要としますが、Agentic Assistant経由でOSコマンドの実行を許可します。

CISAの既知の悪用済み脆弱性カタログ（Known Exploited Vulnerabilities catalog）の10月30日時点の更新情報では、これら2つの重大な欠陥はまだリストされていませんが、他の6つのLangflow脆弱性が現在追跡されています。しかし、リスクは依然として切迫しています。なぜなら、Metasploit Framework用のモジュールが既に存在し、認証バイパス脆弱性であるCVE-2026-93680を悪用するためです。これは、積極的な悪用ツールが一般公開されており、パッチ未適用のインスタンスに対する機会主義的な攻撃の可能性が高まっていることを示唆しています。

仕組み

認証バイパスの脆弱性は、LangflowがModel Context Protocol (MCP) を処理する方法に起因しています。MCPにより、Langflowはワークフローを他のAIアプリケーション向けのツールとして公開できます。IBMによれば、ある欠陥は「model context protocol tool enumerationを通じて悪用可能な未認証のリモートコード実行」に関わっています。攻撃者は資格情報を提供せずにLangflowサーバーのMCPエンドポイントに接続し、セッションを開始して利用可能なツールを列挙できます。自動ログインが有効な構成では、このアクセス権限は迅速にエスカレーションされます。

自動ログインは LANGFLOW_AUTO_LOGIN 設定によって制御され、バージョン1.12.8ではデフォルトで有効になっています。これがアクティブな場合、パスワードのプロンプトなしでユーザーをスーパーユーザーとしてログインさせます。コードドキュメントでは、この機能が「認証をバイパスし、開発環境でのみ使用すべきである」と明確に警告しています。この警告にもかかわらず、最近のリリースでのデフォルトステータスは、多くの本番類似の展開をリスクにさらしています。この問題を狙ったMetasploitモジュールは、自動ログインがオンになっているLangflow 1.8.4でテストされており、攻撃者がいかに容易に特権アクセスを獲得できるかを示しています。

2つ目の重大な欠陥であるCVE-2026-110186は、コード生成の不適切な制御に関連しています。この脆弱性により、攻撃者はサーバー上で任意のコードを注入・実行できます。IBMはこれを、以前の自動ログインセキュリティ制御に対する不完全な修正と説明しています。自動ログインが明示的に無効化されているサーバーがこの特定のコード実行経路に対して依然として脆弱かどうかは、アラートからは不明確ですが、影響を受けるバージョンの広範な範囲は、単純な設定エラーではなく、コアアーキテクチャにおける根深い問題を暗示しています。

主要な詳細

• 影響を受けるバージョン: Langflowのリリース1.0.0から1.12.8までがすべて脆弱です。
• 修正済みバージョン: 10月22日にリリースされたバージョン1.13.0のみが、これらの欠陥に対処しています。
• 重大なCVE: CVE-2026-93680（認証バイパス）とCVE-2026-110186（任意のコード実行）の両方にCVSSスコア9.8が付与されています。
• 悪用ツールの入手可能性: CVE-2026-93680に対するMetasploitモジュールが存在し、MCPエンドポイントへの未認証アクセスを容易にします。
• デフォルト設定のリスク: バージョン1.12.8では LANGFLOW_AUTO_LOGIN 設定がデフォルトで有効になっており、認証なしでスーパーユーザー権限を付与します。
• 回避策なし: IBMは、即時にアップグレードできないサーバーに対する効果的な回避策はないと述べています。

なぜ重要なのか

Langflowを使用してAIエージェントのプロトタイプ作成や展開を行っているエンジニアリングチームにとって、これらの脆弱性は重大なサプライチェーンリスクを表しています。未認証アクセスと任意のコード実行の組み合わせにより、公開されているLangflowインスタンスは完全に侵害される可能性があります。攻撃者は機密資格情報を盗んだり、AIワークフローを操作したり、サーバーをネットワーク侵入のための踏み台として使用したりできます。悪用モジュールがすでに公開されているという事実は、洗練度の低い脅威アクターにとっても参入障壁を下げるため、迅速なパッチ適用が不可欠です。

最近のバージョンで自動ログインがデフォルトで有効になっていることは、開発者ツールにおける使いやすさとセキュリティの間の一般的な緊張関係を浮き彫りにします。ローカル開発には便利ですが、より広いリリースのデフォルトとしてそのような設定を提供することは、開発者が展開前に設定を強化し忘れた場合に広範な露出につながります。この事件は、特にコード実行やエージェントの動作を管理するオープンソースAIインフラストラクチャツールにおいて、デフォルト設定に対する厳格なセキュリティレビューが必要であることを強調しています。

対応方法

• 即時アップグレード: pipまたはDockerを使用して、Langflowインストールをバージョン1.13.0に更新してください。
• データのバックアップ: アップグレード前に、データ損失を防ぐためにデータベース、シークレットキー、およびアップロードしたファイルをバックアップしてください。
• 認証変更への準備: 自動ログインを使用している場合、Langflowのアップグレードガイダンスに記載されている通り、既存のアカウントをパスワードベースのサインインに対応させてください。
• 正しいDockerイメージの使用: 永続データボリュームを保持しながら、langflowai/langflow:1.13.0 イメージに切り替えてください。
• 復旧手順の遵守: アップグレード後にアクセスを失った場合は、再インストール（フローを削除する可能性があります）ではなく、公式の復旧手順を使用してください。
• 更新情報の監視: これらのCVEに関する新たな進展については、IBMのセキュリティアラートやCISAのカタログを引き続き注視してください。