Langflow AI の脆弱性 7件が FIX：認証バイパスやコード・インジェクションの恐れ

Critical Langflow AI Vulnerabilities Allow Hackers to Execute Remote Code Without Authentication

2026/11/03 gbhackers — IBM が公表した Langflow の脆弱性 7件には、未認証のリモート攻撃者による認証バイパスやコード・インジェクションを許す深刻な欠陥が含まれている。これらの脆弱性の影響が及ぶ範囲は、Langflow のバージョン 1.0.0 〜 1.12.8 であり、IBM は管理者に対してバージョン 1.13.0 へのアップグレードを推奨している。10月28日に公開され、10月29日に更新された IBM のセキュリティ情報によると、これらの脆弱性を悪用する攻撃者は、任意のコード実行／API 認証情報の漏洩／認証バイパスなどを引き起こすほか、同梱された依存コンポーネントを介した攻撃を可能にする。そのうちの 2件の脆弱性は CVSS スコアが 9.8 であり、攻撃者は権限やユーザー操作を必要とせず、低い攻撃条件の複雑さで、ネットワーク経由の悪用を実行できる。

Langflow AI の脆弱性

脆弱性 CVE-2026-93680 は、不適切な認証処理の欠陥であり、リモート攻撃者に対して、セキュリティ制限の回避を許す。IBM の概要の中で、根本的な問題の一つとして挙げられるのは、自動ログインに関するセキュリティ制御の不完全な修正である。一方、CVE-2026-110186 は、コード生成に対する不十分な制御により、任意のコード実行を可能にする脆弱性である。

このセキュリティ情報では、Model Context Protocol (MCP) のツール列挙機能を通じて到達可能な、未認証のリモートコード実行についても説明されている。ただし、個々の CVE の説明では、すべての攻撃手法と具体的な CVE 識別子との対応関係が明示されているわけではない。これらのリスクは、外部システムとの連携により、機密性の高い機能が公開され得る脆弱な MCP サーバの攻撃対象領域を拡大する。

CVE-2026-110193 の悪用には、低権限の認証済みアカウントが必要になる。この脆弱性を悪用する攻撃者は、ブロック対象となっていないパターンを含むコンポーネント・コードを、Agentic Assistant に生成／送信させ、サーバ上で OS コマンドを実行する可能性がある。別の脆弱性 CVE-2026-110192 は、保護の不十分な認証情報を突く認証済みの攻撃者による、機密情報の取得を可能にする。

この違いは重要である。すべての脆弱性が未認証で悪用できるわけではなく、攻撃者が脆弱性を連鎖的に悪用する必要があることも、このセキュリティ情報では示されていない。Langflow が抱えるリスクが深刻なのは、過去において別の脆弱性を悪用した Langflow サーバに対する暗号資産マイニング攻撃 が、すでに確認されているためである。

CVE の詳細

IBM は以下の脆弱性を公表しており、その中には依存コンポーネントである Hono フレームワークの 3件の問題も含まれる。なお、以下のスコアは CVSS v3.1 の基本スコアである。

CVEComponentCVSSImpact
CVE-2026-93680Langflow9.8Unauthenticated authentication bypass
CVE-2026-110186Langflow9.8Unauthenticated arbitrary code execution
CVE-2026-110193Langflow8.8Authenticated server command execution
CVE-2026-110192Langflow6.5Authenticated sensitive-information disclosure
CVE-2026-84363Hono5.9Request interpretation inconsistency; cache poisoning
CVE-2026-84364Hono5.3Memory exhaustion through nested objects
CVE-2026-84365Hono6.5Build-time path traversal

Hono のキャッシュに関する脆弱性の悪用には、リクエスト URL 内のハッシュ文字を文字どおり保持するインフラが必要である。メモリ枯渇の脆弱性は、ドット表記によるリクエストボディの解析が有効化されたエンドポイントに影響するが、この機能はデフォルトでは無効である。パストラバーサルの脆弱性は、信頼できないルート・パラメータを使用する静的サイト生成に影響するものであり、通常のリクエスト処理時のルーティングには影響しない。これら 3件の脆弱性は、すべて Hono 4.13.5 で修正されている。

管理者にとって必要なことは、影響を受ける環境において、pip install --upgrade “langflow==1.13.0” または Docker イメージ langflowai/langflow:1.13.0 を使用して、Langflow 1.13.0 にアップグレードすることである。このバージョンは、別の Langflow 脆弱性に関するセキュリティ情報 に対応した、修正版を置き換えるものである。

アップグレードの前段階で、データベース／シークレットキー／アップロード済みファイルなどをバックアップする必要がある。自動ログインを使用する環境では、既存のアカウントをパスワードによるサインインに対応させる準備が必要となる。Docker の管理者は、コンテナを再作成する前に、永続ストレージの設定を確認する必要がある。設定に不備がある場合には、データベースや認証情報が失われる可能性がある。IBM は、別途適用可能な暫定的な回避策を提供していない。

この記事は、AI アプリ構築ツールである Langflow に存在する一連の危険な欠陥と、その修正方法について解説するものです。認証制御の不備や入力値の検証不足、依存ライブラリの不整合が背景に存在します。影響として、アクセス制御の突破／サーバー上での任意のコマンド実行／連携された API 認証情報の流出が生じる恐れがあります。対応策として、最新版ファームウェアへの更新／事前に保持されたバックアップによる検証／認証設定の再確認が求められます。