Langflowの脆弱性が悪用され、OpenAIとAWSのキーが窃取される

AIアプリケーション開発用のサーバーは、保護されていない単一のリクエストでアクセスできる貴重な秘密情報の宝庫と化しています。攻撃者はLangflowの重大な脆弱性CVE-2026-0768を悪用し、OpenAIやAWSのキー、管理者の認証情報、その他の機密情報を窃取し始めています。

ハニーポットで観測された攻撃

セキュリティ企業VulnCheckは、英国のハニーポットに対する実際の攻撃を検知しました。研究者らが当初記録したリクエスト数は50件を超える程度でしたが、9月1日までに試行回数は360件にまで増加しており、トラフィックの大半はロシアを発信元としています。

Langflowとは

Langflowは、開発者がグラフィカルエディタ上でAIエージェントやチャットボットなどのアプリケーションを組み立てられる、Pythonベースのオープンソースプラットフォームです。各コンポーネントは言語モデルとデータベース、外部API、各種ツールを接続する役割を担います。そのため、サーバー内にはクラウドサービスやモデルへのアクセスキーが保存されていることが多くなっています。

認証不要のroot権限RCE

CVE-2026-0768はCVSS 3.1スケールで9.8(10点満点)というスコアを受けており、カスタムコンポーネント用のバリデーションハンドラに影響します。Langflowは受け取った文字列を、信頼できるフィルタリングをかけないままPythonインタプリタに渡していました。この脆弱性の悪用にはアカウントも管理者による操作も必要とせず、注入されたコードはrootスーパーユーザー権限で実行されます。

攻撃者が狙う情報

攻撃の過程で、攻撃者は環境変数LANGFLOW_SUPERUSER、OPENAI_API、AWS_ACCESS、AWS_SECRETに対してクエリを実行しています。さらにこれらのリクエストは、Langflow内部の秘密鍵を読み取り、SSHディレクトリへのアクセス権を確認し、Bashのコマンド履歴のサイズを調べていることも確認されています。これまでのところ、公開された実証エクスプロイトは見つかっていません。ただし、公開コードが存在しないからといって、実際の悪用を妨げるものではありません。

パッチ適用と対応策

この問題は2026年1月に公表されており、Langflowバージョン1.4.2以前が脆弱とされています。管理者は最新版の1.11.6へ移行し、プラットフォームへのネットワークアクセスを制限することが推奨されます。不審なリクエストを検知した場合は、OpenAI、AWS、Langflowの各キーを失効させて再発行するとともに、サーバー上のSSHアクセスとコマンド履歴も確認する必要があります。