AI開発ツール「Langflow」に重大なRCE脆弱性、1,400件超の攻撃を観測

要点

• AIアプリ開発ツール「Langflow」の1.9.0未満に、CVSSスコア9.9のリモートコード実行（RCE）の脆弱性が存在することが判明した。

• セキュリティ企業Previdianのハニーポットにおいて、同脆弱性を悪用しようとする試行が1,423件記録された。

• 攻撃者は一般的な認証情報でログイン後、MCPサーバー設定を悪用して機密情報の窃取やOSコマンド実行を試みている。

• 被害を防ぐため、修正済みバージョンへの更新や自動ログインの無効化、強力なパスワード設定が推奨されている。

• AIアプリケーション開発プラットフォーム「Langflow」に存在する深刻な脆弱性を狙ったサイバー攻撃が急増していることが明らかになった。セキュリティ企業Previdianが公開したアラートによると、同社のハニーポットにおいて1,400件を超える悪用試行が確認されたという。影響を受けるのはバージョン1.9.0未満で、認証を済ませたユーザーであれば管理者権限を持たなくてもサーバー上で任意のコードを実行できる状態になっていた。

脆弱性「CVE-2026-105740」の仕組みと危険性

Langflowは、人工知能（AI）アプリケーションやエージェントの処理フローを視覚的に構築できるオープンソースのソフトウェア基盤だ。なお、同ツールの開発元であるDataStaxは2025年2月にIBMによって買収されている。

今回報告された脆弱性「CVE-2026-105740」は、共通脆弱性評価システム（CVSS）のスコアが最大値（10.0）に近い9.9と、極めて深刻な評価となっている。問題の根本は、AIモデルと外部ツールを接続する規格であるMCP（Model Context Protocol）サーバーの追加機能にある。Langflowでは標準入出力（stdio）方式のMCPサーバーを追加できるが、ユーザーが指定したコマンドが事前の検証や許可リストによる制限、サンドボックス環境による隔離を行われないまま、直接「bash -c "exec {command}"」に渡されて実行される仕様となっていた。さらに、環境変数の任意注入（LD_PRELOADやPATHの上書きなど）も可能だという。

攻撃手順としては、まず管理者権限を持たない一般ユーザーとしてログインする。続いて、不正なコマンドを含むデータを添えてAPIエンドポイント（/api/v2/mcp/servers/{server_name}）へHTTP POSTリクエストを送信し、悪意あるMCPサーバーを登録する。その後、サーバー一覧を取得するAPI（/api/v2/mcp/servers?action_count=true）へGETリクエストを送るだけで、保存されたコマンドが直ちに実行される。

この脆弱性が悪用された場合、攻撃者はLangflowの実行プロセスと同じ権限で任意のOSコマンドを実行可能となる。サーバー全体の完全な掌握や環境変数の改変、同一ネットワーク内の他システムへと攻撃を広げるラテラルムーブメント（水平移動）を許すリスクがある。加えて、登録された設定はプロジェクト設定内に保持され、サーバー一覧が読み込まれるたびに繰り返し実行されるため、永続的なバックドアとして機能する。フロー編集画面上で視認できる通常のコンポーネントとは異なり、設定画面の深部に隠蔽されるため、通常の確認作業では発見が極めて困難である点も危険視されている。

ハニーポットで確認された攻撃活動と手口

Previdianの発表によると、同社が運用するハニーポット（攻撃者の活動を誘引・分析するために設置された囮の環境）において、2026年9月19日以降に合計1,423件の悪用試行が確認された。これらの試行は、日本、米国、中国、ドイツ、ロシア、ベルギー、香港、ナイジェリア、フィリピン、セーシェル、シンガポール、韓国、台湾、タンザニア、ベトナムの計15カ国・地域に分散する27件の固有なIPアドレスから発信されていた。

悪用試行は10月に入ってから活発化しており、特に10月11日には1日で333件の試行が急増した。その後も攻撃は続いており、本記事執筆時点の10月15日にも66件が観測されている。

本脆弱性の悪用には事前の認証が必要となるが、攻撃者は初歩的な手段によってこれを突破していた。Previdianの創業者兼CEOであるRyan Dewhurst氏がThe Hacker Newsに語ったところによると、攻撃者はまずLangflowのバージョンを確認した上で、自動ログイン用のAPI（/api/v1/auto_login）へのアクセスを試みるという。ハニーポット環境では同機能が無効化されていたため拒否（HTTPステータスコード403）されたものの、攻撃者は続いて広く用いられている一般的なユーザー名とパスワードを投入して認証に成功した。そして、払い出されたベアラートークン（API操作の権限を証明するアクセス情報）を使い、直ちに脆弱なMCPサーバー設定APIへとアクセスしたという。

観測されたペイロードと攻撃元の特徴

ハニーポットで捕獲された攻撃用の実行データ（ペイロード）からは、侵入者の具体的な手口が浮き彫りになっている。

確認された主なペイロードには、暗号鍵（LANGFLOW_SECRET_KEY）や最高管理者パスワード（LANGFLOW_SUPERUSER_PASSWORD）といった機微な設定値や環境変数を抜き出し、外部の指定サーバー（146.70.211[.]112:18764）へ送信しようとする動きがあった。さらに、Docker環境からホスト側のファイルシステムにアクセスしてシステムのアカウント一覧（/etc/passwd）を閲覧しようとするコマンドや、「id」や「whoami」などのコマンドを用いて実行権限の有無を探る偵察行為も捉えられている。

これら一連の攻撃活動の多くは、「192.255.229[.]92」という特定のIPアドレスから発信されていた。脅威情報を提供するGreyNoiseのデータによれば、このIPアドレスは広範な総当たり攻撃に関与しているほか、類似のAI基盤であるFlowiseの脆弱性（CVE-2026-69255）や、過去に明らかになったLangflowの別欠陥（CVE-2026-55255、CVE-2026-9198、CVE-2026-0768）を突く攻撃にも利用されていたことが判明している。

推奨される対策と関連する脆弱性

一連の脅威に対し、PrevidianのDewhurst氏は、Langflowを脆弱性が修正された最新バージョン（1.9.0以降）へと迅速に更新することを強く求めている。また、運用の見直しとして、不要な自動ログイン機能の無効化、推測されにくい強固で一意なパスワードの設定を徹底することに加え、認証ログの確認やMCPサーバー設定用エンドポイント（/api/v2/mcp/servers/）宛ての不審なリクエストを監視することを推奨している。

なお、Langflowでは先月にも別の重大な脆弱性（CVE-2026-105697）の修正が行われたばかりである。