米サイバーセキュリティ・インフラセキュリティ庁(CISA)は火曜日、IBM Langflow OSS、N-able N-central、Apache Tomcatに存在する3件の脆弱性が脅威アクターによって悪用されていると警告しました。
CVE-2026-9198(CVSSスコア9.8)として追跡されているLangflow OSSの脆弱性は、未認証の攻撃者が2つのAPIエンドポイントを連鎖させてリモートコード実行を行うことを可能にします。
この脆弱性は7月17日に公開され、同日IBMはLangflow OSSバージョン1.10.1でパッチを提供し、デフォルト設定のすべての導入環境が影響を受けると警告しました。
「この脆弱性は2つの異なる問題を組み合わせたものでした。1つはネットワーク経由の呼び出し元であれば誰にでもスーパーユーザーのベアラートークンを発行してしまう未認証エンドポイント、もう1つは任意のPythonコードを実行してしまうコード検証エンドポイントです。攻撃者はまず自動ログインエンドポイントからスーパーユーザートークンを取得し、そのトークンを使って検証エンドポイントに悪意のあるコードを送信することで、これらの脆弱性を連鎖させることが可能でした」とIBMは警告しています。
この脆弱性を狙った概念実証(PoC)コードは、一般公開からおよそ1週間後に公表され、CISAは8月4日にこのCVEをKnown Exploited Vulnerabilities(既知の悪用された脆弱性、KEV)カタログに追加しました。
悪用が確認されたN-able N-centralの脆弱性はCVE-2026-18556(CVSSスコア7.4)として追跡されており、認証バイパスの脆弱性と説明されています。
N-ableによると、脅威アクターはこの問題をゼロデイとして悪用し、管理者権限を取得したうえで、このリモート監視・管理(RMM)プラットフォームによって管理されているシステムに接続していました。
CVE-2026-18556に対する当初の修正は不完全であり、脅威アクターはこれを回避していました。7月末にかけて悪用活動が激化したことを受け、N-ableは修正パッチを回避する問題に対してCVE-2026-18577を割り当て、ホットフィックスを提供しました。CVE-2026-18556とCVE-2026-18577はいずれも、現在CISAのKEVリストに掲載されています。
CVE-2026-34486(CVSSスコア7.5)として追跡されている、火曜日にKEVカタログへ追加された3件目の脆弱性は、Apache TomcatのEncryptInterceptorにおけるバイパスの脆弱性で、4月にパッチが提供されていました。
この不具合は3月、EncryptInterceptor(Tomcatクラスタ内のノード間で送受信されるメッセージを暗号化するオプションのチャンネルインターセプター)におけるパディングオラクルの問題であるCVE-2026-29146へのパッチ適用時に混入したものです。
「この修正は1行のコードを移動しただけでした。しかしその1行の変更によって、暗号化レイヤーはフェイルクローズ(失敗時に閉じる)からフェイルオープン(失敗時に開く)へと変わってしまい、クラスタの全メンバーに対する未認証のリモートコード実行への直接的な経路が開かれてしまったのです」と、この脆弱性を発見したStrigaAIは説明しています。
EncryptInterceptorが設定された環境では、共有鍵を用いて暗号化されたメッセージのみが復号され、デシリアライズ層に渡されるべきものでした。しかしこのバイパスの脆弱性により、復号に失敗した場合でも、攻撃者が制御するコードが改変されないままインターセプターチェーンの上位へと転送されてしまっていました。
先週、SOCRadarは、CVE-2026-34486が中国系の脅威アクターによってSnowlightマルウェアファミリーを用いた攻撃で悪用されていたと警告しました。またPalo Alto Networksも、AIを活用した自律型ハッキングキャンペーンにおいて、中国系ハッカーがこの脆弱性を悪用しているのを確認しています。
CISAはBOD 26-04の要件に基づき、連邦政府機関に対し8月7日までにこれら3件すべての脆弱性に対処するよう求めています。
翻訳元: https://www.securityweek.com/cisa-warns-of-exploited-langflow-n-central-and-tomcat-vulnerabilities/
