セキュリティ修正がリリースされたにもかかわらず、重大なLangflowの脆弱性が依然として攻撃を受けている。
セキュリティインテリジェンス企業のPrevidianは、2026年10月19日までにCVE-2026-105740を標的とした悪用の試みを記録した。このリモートコード実行（RCE）脆弱性のCVSS深刻度スコアは9.9で、認証済みユーザーが脆弱なサーバー上でOSコマンドを実行できる。
Langflowを使ってAIエージェントやワークフローを構築している組織では、アプリケーションの認証情報や接続されたシステムが露出する可能性がある。バージョン1.9.0で元の脆弱性は対処されたが、関連するコマンドインジェクションの脆弱性に対しては、バージョン1.10.3で追加の保護が必要となった。
Langflowへの攻撃、MCPコマンド実行を標的に
Previdianの悪用テレメトリーは、脆弱性を標的とした悪意あるリクエストを記録している。この調査結果は、実運用システムの侵害が確認されたことではなく、観測された悪用の試みを示すものだ。
Langflowは、Model Context Protocol（MCP）統合をサポートするオープンソースのAI開発プラットフォームだ。これまでのAIインフラを標的とした攻撃でも、MCPサービス、認証情報の窃取、不正なコマンド実行が関与していた。
Langflowのセキュリティアドバイザリーによると、入力検証が不十分だったため、認証済みユーザーは標準入出力（stdio）トランスポートを使うMCPサーバー経由でOSコマンドを入力できた。
コマンドは管理者アクセスを必要とせず、Langflowサービスの権限で実行できた。悪用に成功すると、認証情報、機密ファイル、接続されたリソースが露出する可能性がある。悪意ある設定によって、Langflowが後からMCPサーバー定義を読み込んだ際に実行を誘発することも可能だった。
デフォルトLANGFLOW_AUTO_LOGIN=true設定では、ログイン認証情報なしでアクセストークンを発行できるため、インターネットからアクセス可能なデプロイ環境では露出のリスクが高まる。別の調査では、インターネットからアクセス可能な数千のAIサービスも特定されており、セルフホスト型AIインフラ全体でアクセス制御に懸念があることが浮き彫りになっている。
パッチの適用漏れとLangflowのセキュリティ制御
Langflow 1.9.0では、影響を受けるMCP設定インターフェースに検証機能を導入し、CVE-2026-105740に対処した。しかし、関連する脆弱性では、追加のコマンド実行経路が依然として脆弱な状態にあった。
関連するセキュリティアドバイザリーでは、別の重大なMCPコマンドインジェクション脆弱性であるCVE-2026-105697が特定されている。langflowパッケージはバージョン1.1.2から1.10.2まで影響を受け、langflow-baseおよびlfxパッケージにはそれぞれ別の影響バージョン範囲が設定されていた。
Langflow 1.10.3では、追加の実行経路にも検証を拡張し、安全でないシェル実行ラッパーを削除した。管理者は修正を含む、現在サポートされているリリースにアップグレードし、インストール済みのすべての依存関係について、アドバイザリーに記載された影響バージョン範囲と照合すべきだ。
パッチの適用に加えて、AI開発ツールチェーンに内在するセキュリティリスクを踏まえ、パッケージの実行や接続されたシステムへのアクセスに対して、追加の制御を導入する必要がある。
組織は次の対策を優先すべきだ。
- デプロイ環境にパッチを適用し、検証する：インストール状況を棚卸しし、影響を受けるパッケージとコンテナを更新して、実行中のバージョンを確認する。
- 認証を強制し、アクセスを制限する：を設定し
LANGFLOW_AUTO_LOGIN=false、ユーザー権限を制限して、不要なインターネット公開を防ぐ。 - MCPパッケージの実行を制限する：を設定し
LANGFLOW_MCP_SERVER_ALLOWED_PACKAGES、承認済みパッケージのみをnpxおよびuvxインタープリター経由で許可する。 - 実行環境を強化する：サポート対象のMCPインタープリターとDockerのハードニングを有効にし、カスタムコードの実行を制限するとともに、最小権限のアクセスを徹底する。
- 侵害を監視する：MCP設定、アクセスログ、プロセス、外部への接続を確認する。侵害が疑われる場合は、露出した可能性のある認証情報をローテーションする。
- インシデント対応計画をテストする：侵害されたAI開発システムを対象に、検知、封じ込め、認証情報の無効化、復旧の手順を検証する。
パッチを適用すれば修正済みの実行経路はふさげるが、過去の侵入を取り消すことはできない。以前に公開されていたインストール環境がある組織は、過去の活動を確認し、修復完了と判断する前に、不審なコマンド実行を調査すべきだ。
続きを読む：別のOrkes Conductorの重大なRCE脆弱性でも数千件の悪用試行が確認され、ワークフローインフラにおける同様のリスクが露呈した。