LangflowのRCE脆弱性により、認証済みユーザーがシェルコマンドを実行可能

脅威アクターは、AIアプリケーション構築向けのオープンソースプラットフォームであるLangflowにおける重大なリモートコード実行（RCE）脆弱性を積極的に悪用しています。セキュリティ企業Previdianによると、2026年9月中旬以降、ハニーポットセンサーに対する攻撃者の悪用試みは1,400回を超えています。この脆弱性はCVE-2026-105740として特定されており、バージョン1.9.0より前のLangflowに影響します。これにより、あらゆる認証済みユーザーがホストサーバー上で任意のOSコマンドを実行できるようになります。

何が起きたのか

この脆弱性は、LangflowがModel Context Protocol（MCP）サーバー設定を処理する方法に起因しています。ユーザーが「stdio」トランスポートを使用してMCPサーバーを追加する場合、アプリケーションは検証、許可リスト化、サンドボックス化なしでコマンドフィールドを受け入れます。このコマンドはbash -c "exec {command}"を介して直接シェルに渡されます。その結果、管理者アカウント以外の有効な資格情報を持つすべてのユーザーが、悪意のあるペイロードを注入できます。サーバーリストを取得するとコマンドが即座に実行され、攻撃者はLangflowプロセスと同じ権限を獲得します。

Previdianのデータでは、活動の急増が明らかになっています。2026年10月11日だけで333回の試みが記録されました。合計1,423回の悪用試みが、中国、ロシア、米国、ベトナムなどを含む27個の一意なIPアドレスから検出されました。攻撃者は通常、Langflowのバージョンを確認した後、弱いまたは一般的な資格情報を用いて認証を行います。内部に入ると、ペイロードを保存するためにMCPサーバーエンドポイントへ細工されたHTTP POSTリクエストを送信し、続いてサーバーリストを取得することで実行をトリガーします。

悪用が成功した場合の結果は深刻です。攻撃者はサーバーの完全な乗っ取りを実現し、LD_PRELOADなどの環境変数を注入し、永続的なバックドアを展開できます。MCPサーバー設定は可視のフローコンポーネントではなくプロジェクト設定に保存されるため、これらの悪意のある設定は通常のコードレビュー中に隠蔽される可能性があります。捕捉されたペイロードには、LANGFLOW_SECRET_KEYなどの機密性の高いシークレットの抽出や、/etc/passwdなどのホストファイルシステムファイルの読み取りを試みる攻撃者の姿が見られます。

仕組み

中核となるメカニズムは、MCP stdioトランスポートに対する入力サニタイズの欠如にあります。典型的な攻撃チェーンでは、敵対者がまず標準ユーザーとしてログインします。次に、悪意のあるコマンドをボディに含めたPOSTリクエストを/api/v2/mcp/servers/{server_name}へ送信します。Langflowはこの設定を、コマンドが安全かどうかを確認せずに保存します。エクスプロイトをトリガーするため、攻撃者はGETリクエストを/api/v2/mcp/servers?action_count=trueへ送信します。このアクションによりアプリケーションはサーバーリストの読み込みを強制され、結果として保存されたコマンドがバックグラウンドで誤って実行されます。

この手法は、従来のコードレビュープロセスを回避できるため特に危険です。ビジュアルエディタに表示されるカスタムPythonコンポーネントとは異なり、MCP設定はバックエンドの設定です。さらに、この脆弱性は環境変数の注入を許容し、攻撃者がLangflowプロセスの実行時環境を操作できるようにします。これにより、ネットワーク内での横方向移動の促進や永続的なアクセスの確立が可能になります。なぜなら、悪意のある設定はサーバーリストがアクセスされるたびに再実行されるからです。

主要な詳細

• 脆弱性ID: CVE-2026-105740、CVSSスコア9.9。
• 影響を受けるバージョン: バージョン1.9.0より前のすべてのLangflowバージョン。
• 攻撃経路: MCPサーバー設定を介した認証済みリモートコード実行。
• 悪用の規模: 2026年9月19日以降、Previdianによって記録された1,423回の試み。
• 主な標的: 脆弱性を悪用する前に、初期アクセスを得るために弱い資格情報が使用されます。
• 永続性: 悪意のあるMCP設定はプロジェクト設定に残り、リスト取得時に再実行されます。

なぜ重要なのか

AIワークフローを構築するエンジニアリングチームにとって、この事案はMCPのような複雑なプロトコルハンドラーを厳格なセキュリティ境界なしに統合することのリスクを浮き彫りにします。非管理者ユーザーがホスト全体を侵害できるという事実は、最小権限アクセス制御の重要性を強調します。多くの組織は内部ユーザーや協力者を信頼していると仮定しているかもしれませんが、この脆弱性は侵害されたアカウントをサーバー完全乗っ取りへのゲートウェイに変えてしまいます。また、適切にサンドボックス化されていない場合、設定インターフェースが攻撃面となり得ることも示しています。

さらに、悪用試みの急速な増加は、自動化スキャナーがこの特定の脆弱性を標的にしていることを示唆しています。Flowiseなどのツールにおける他の最近の脆弱性に関連付けられたIPアドレスの関与は、AI開発インフラストラクチャに対する体系的なキャンペーンを示しています。公開されているLangflowインスタンスを実行しているチームは、これを単なる理論上のリスクではなく、現実的な脅威として扱わなければなりません。シークレットキーや環境変数を抽出できる能力は、単一の侵害がより広範なインフラストラクチャの侵害につながる可能性があることを意味します。

対策

• CVE-2026-105740をパッチ適用するため、直ちにLangflowをバージョン1.9.0以降へアップグレードしてください。
• 環境変数でLANGFLOW_AUTO_LOGIN=falseを設定し、自動ログインを無効にしてください。
• すべてのLangflowユーザーアカウントに対して、強力で一意なパスワードを適用し、不正アクセスを防いでください。
• 認証ログを確認し、/api/v2/mcp/servers/へのリクエストを監視して不審な活動を検知してください。
• Langflowインスタンスを信頼できないネットワークへ直接公開しないでください。