深刻なLangflow脆弱性、いまも攻撃が継続：パッチ適用で確認すべきこととは

Langflowの深刻な脆弱性が、セキュリティ修正のリリース後も攻撃を受け続けています。

セキュリティインテリジェンス企業のPrevidianは、2026年10月19日までにCVE-2026-105740を狙った悪用の試みを確認しました。このリモートコード実行（RCE）の脆弱性はCVSSスコアが9.9で、認証済みのユーザーが脆弱なサーバー上でOSコマンドを実行できます。

LangflowでAIエージェントやワークフローを構築している組織では、アプリケーションの認証情報や接続先システムが危険にさらされるおそれがあります。元の脆弱性はバージョン1.9.0で修正されましたが、関連するコマンドインジェクションの脆弱性については、バージョン1.10.3で追加の防御策が必要になりました。

MCPのコマンド実行を狙うLangflowへの攻撃

Previdianの悪用テレメトリには、この脆弱性を狙った不正なリクエストが記録されています。ただし、これは確認された悪用の試みであり、本番システムの侵害が確認されたわけではありません。

Langflowは、Model Context Protocol（MCP）との統合をサポートするオープンソースのAI開発プラットフォームです。AIインフラを狙った過去の攻撃でも、MCPサービス、認証情報の窃取、不正なコマンド実行が絡んでいました。

Langflowのセキュリティアドバイザリによると、検証が不十分だったため、認証済みユーザーが標準入出力（stdio）トランスポートを使うMCPサーバー経由でOSコマンドを渡すことができました。

コマンドはLangflowサービスの権限で実行され、管理者権限は必要ありません。悪用に成功すると、認証情報や機密ファイル、接続先のリソースが漏えいするおそれがあります。また、細工された設定は、LangflowがMCPサーバー定義を後から読み込んだ際にコマンドを実行させる可能性もあります。

デフォルトのLANGFLOW_AUTO_LOGIN=true設定では、ログイン情報なしでアクセストークンが発行されることがあり、公開状態のデプロイではリスクが高まります。別の調査ではインターネットからアクセス可能なAIサービスが数千件見つかっており、セルフホスト型AIインフラ全般でアクセス制御に課題があることがわかります。

パッチの抜け穴とLangflowのセキュリティ対策

Langflow 1.9.0は、影響を受けるMCP設定インターフェースに検証を導入し、CVE-2026-105740に対処しました。しかし、関連する脆弱性により、ほかのコマンド実行経路は脆弱なままでした。

関連するセキュリティアドバイザリでは、MCPのもう1つの深刻なコマンドインジェクションの脆弱性として、CVE-2026-105697が示されています。langflowパッケージはバージョン1.1.2から1.10.2までが影響を受け、langflow-baseとlfxの各パッケージにはそれぞれ別の影響バージョン範囲があります。

Langflow 1.10.3では、検証をほかの実行経路にも拡大し、安全でないシェル実行ラッパーを削除しました。管理者は、修正を含む現行のサポート対象リリースにアップグレードし、インストール済みのすべての依存関係をアドバイザリの影響バージョン範囲と照らして確認する必要があります。

パッチ適用にとどまらず、AI開発ツールチェーンに潜むセキュリティリスクに備え、パッケージの実行や接続先システムへのアクセスに追加の制御を設けるべきです。

組織は次の対策を優先してください。

• パッチ適用とデプロイの検証：インストール環境を棚卸しし、影響を受けるパッケージとコンテナを更新して、稼働中のバージョンを確認する
• 認証の徹底とアクセス制限：LANGFLOW_AUTO_LOGIN=falseを設定し、ユーザー権限を制限して、不要な外部公開を防ぐ
• MCPパッケージの実行制限：LANGFLOW_MCP_SERVER_ALLOWED_PACKAGESを設定し、npxとuvxのインタープリター経由では承認済みのパッケージのみを許可する
• 実行環境の堅牢化：サポートされているMCPインタープリターとDockerの堅牢化を有効にし、カスタムコードの実行を制限して、最小権限のアクセスを徹底する
• 侵害の監視：MCP設定、アクセスログ、プロセス、外部への通信を確認する。侵害が疑われる場合は、漏えいした可能性のある認証情報をローテーションする
• インシデント対応計画のテスト：侵害されたAI開発システムを想定し、検知、封じ込め、認証情報の失効、復旧の手順を検証する

パッチを適用すれば修正済みの実行経路はふさげますが、過去の侵入までは取り消せません。過去に公開状態でインストールしていた組織は、過去のアクティビティーを確認し、不審なコマンド実行がないか調べてから、対処完了と判断してください。

関連記事：Orkes Conductorの深刻なRCE脆弱性にも数千件の悪用の試みがあり、ワークフローインフラでも同様のリスクが浮き彫りになっています。