重大 9.8 急ぎ度: 早めに

Langflow OSSに遠隔コード実行の脆弱性、IBMが告知

IBM Langflow OSSの1.0.0から1.12.8に、認証なしでサーバー上の任意コードを実行されるおそれのある脆弱性が見つかりました。Langflowを社内や外部に公開している組織は、版を確認し、IBMの告知に沿って修正版へ更新してください。更新まで時間がかかる場合は、ネットワークからの到達範囲を絞ります。

CVE-2026-110186 公開 2:09 生成 AI で作成

急ぎ度: 早めに

CVSS v3は9.8で認証も操作も要らない条件ですが、悪用の確認は公表されておらず、IBMの告知にパッチ情報があるため、インターネットに公開している環境は当日中、それ以外は今週中を目安に更新するのが妥当です。

関係があるか

IBM Langflow OSSを自社で動かしている組織が対象です。開発者の検証用に立てたインスタンスや、PoCのまま残っているものも含まれます。

製品	影響を受ける版	直った版
IBM Langflow OSS	1.0.0以上1.12.8以下	IBMの告知ページ（https://www.ibm.com/support/pages/node/7294467）で確認してください

確かめ方

1社内でLangflowを動かしているサーバー、コンテナー、開発者のパソコンを洗い出します。部署が独自に立てたものも対象に含めます。
2pip経由のインストールなら pip show langflow で版を確認します。コンテナーならイメージのタグと、コンテナー内で langflow --version を実行した結果を確認します。
3版が1.0.0から1.12.8の範囲に入っていれば影響を受けます。あわせて、そのインスタンスがインターネットや社内の広い範囲から到達できるかも確認します。

何が起きたか

Langflow OSSを動かしているサーバー上で、第三者が任意のコードを実行できてしまう脆弱性です。

IBMが2026年10月29日に公表しました。分類はCWE-94で、コードを生成する処理の制御が不適切なために起きるものです。重大度はcriticalで、CVSS v3は9.8です。

IBMの告知の題には「multiple vulnerabilities」とあり、この脆弱性のほかにも修正された問題があるようです。

攻撃の流れ

1

到達できる環境

ネットワークからLangflowの画面やAPIに到達できるインスタンスが狙われます。
2

細工した要求

ログインなしのまま、Langflowに細工された要求が送られます。
3

コードが実行

コード生成の処理が入力を適切に制限せず、意図しないコードが実行されます。
4

サーバー掌握

Langflowの実行権限で、情報の読み出しや書き換え、停止が可能になります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

攻撃者はネットワーク経由で到達できればよく、ログインは要りません。利用者に何かをクリックさせる必要もなく、攻撃の難度は低いと評価されています。CVSSのベクターはAV:N/AC:L/PR:N/UI:Nです。

成功すると、Langflowのプロセスと同じ権限でコードが動きます。機密性・完全性・可用性のすべてで影響が大きいと評価されており、サーバー上のファイルや環境変数の読み出し、設定の書き換え、サービス停止が起こり得ます。環境変数やフローに登録した接続情報も、読み出される対象になります。

今すぐやること

1
対象インスタンスを洗い出して版を確認する

運用部門が把握していないLangflowが残っていることが多いので、開発・検証用も含めて調べます。1.0.0から1.12.8の範囲なら対象です。
```
pip show langflow
```
2

IBMの告知に従って修正版に更新する

IBMの告知ページで修正版の版番号と更新手順を確認し、先にインターネットへ公開しているインスタンスから更新します。コンテナーで運用している場合は、イメージを作り直して入れ替えます。
3

到達範囲を確認し、不要な公開を閉じる

インターネットや広い社内ネットワークから到達できる状態になっていないかを、ファイアウォールやリバースプロキシの設定で確認します。使っていないインスタンスは停止します。
4

更新前後のログを点検する

公開されていた期間のアクセスログと、サーバー上の不審なプロセス起動や外部への通信を確認します。異常があれば、Langflowに登録していた接続情報を無効にして再発行します。

すぐ更新できないとき

すぐに更新できないときは、LangflowをVPNや許可したIPアドレスからだけ到達できるようにし、インターネットへの公開をやめます。前段のリバースプロキシで認証をかけるのも有効ですが、修正版の代わりにはなりません。使わないインスタンスは停止し、実行ユーザーの権限と、そのサーバーから届く接続先も最小限に絞ります。

背景

Langflowは、大規模言語モデルを使ったアプリやエージェントを、画面上でコンポーネントをつないで組み立てるツールです。ユーザー定義のコードを扱う機能があり、コードを生成して実行する処理が製品の中心に近いところにあります。こうした処理で入力の扱いに不備があると、画面の操作だけでなくサーバー自体の権限に影響します。

また、Langflowのサーバーには、外部の言語モデルのAPIキー、データベースへの接続情報、社内文書の取り込み先といった認証情報が集まりやすい構成です。AIの検証用に手軽に立てたものほど、アクセス制限や更新の担当者が決まっていないことがあります。侵害されたときの被害は、Langflow自体より、そこから届く先へ広がると考えたほうがよいでしょう。

よくある質問

Q.更新したあと、APIキーなどの再発行は必要ですか。

A.インターネットや広い範囲に公開していた期間があり、アクセスログに不審な要求や、見覚えのないプロセス・外部通信が残っているなら、再発行を検討してください。そうした形跡がなく、公開範囲も限られていたなら、更新を優先して構いません。

まだ分かっていないこと

実際の攻撃で悪用されたかどうかや、攻撃コードが公開されているかどうかは分かっていません。
修正版の版番号と、1.12.8より新しい版がすべて影響を受けないかどうかは、IBMの告知で確認が必要です。
同じ告知に含まれるほかの脆弱性の中身と、影響を受ける機能や経路の詳細は、公表されていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
IBM	Langflow OSS	1.0.0 〜 1.12.8	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

IBM Langflow OSS 1.0.0 through 1.12.8 could allow a remote attacker to execute arbitrary code due to improper control of code generation.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

web psirt@us.ibm.com