JVN iPediaは2026年10月13日、IBM Langflow OSSのアクセス制御に関する脆弱性を掲載しました。対象は1.0.0から1.12.2までで、認証済みの攻撃者が遠隔から任意のコードを実行する恐れがあります。利用している会社は、稼働中の版とアクセスできるユーザーを確認し、IBMのセキュリティ情報に沿って対策を判断する必要があります。
対象は1.0.0から1.12.2、認証済みの攻撃者が悪用する恐れ
脆弱性の識別番号はCVE-2026-104335です。種類は、不適切なアクセス制御を指すCWE-284に分類されています。アクセス制御とは、誰にどの操作を許可するかを管理する仕組みです。
JVNによると、攻撃者は認証済みである必要があります。認証なしで攻撃できる脆弱性として案内されたものではありません。ただし、攻撃に必要な特権レベルは低いと評価されています。高い管理権限を持つユーザーだけを確認するのではなく、アクセスできるユーザー全体を点検する判断材料になります。
JVNの評価では、ネットワーク経由で攻撃でき、攻撃条件の複雑さは低く、利用者の関与も不要です。脆弱性の深刻度を示すCVSS v3基本値は8.8で、深刻度は「重要」とされています。
情報の漏えい・書き換え・完全停止の可能性
JVNは、任意のコード実行に加え、ソフトウェアが扱う全情報が外部に漏れる恐れや、全情報が書き換えられる恐れを示しています。ソフトウェアが完全に停止する可能性もあります。
情報を読まれるリスクだけではありません。扱う情報の正確さや、業務を継続できるかという観点でも確認が必要です。一方、今回の取材資料には、実際の攻撃や被害の発生についての記載はありません。脆弱性による可能性と、確認済みの被害は分けて扱ってください。
JVNはIBMのセキュリティ情報を参照し、適切な対策を取るよう案内しています。取材資料には修正版の番号や具体的な対策手順がありません。そのため、この記事だけで更新先を決めず、IBMの案内で対象版と対策内容を照合する必要があります。
影響する会社・しない会社
- 影響する: IBM Langflow OSSの1.0.0から1.12.2までを利用している会社です。業務用か検証用かだけで除外せず、実際に稼働している版を確認してください。
- 影響する: IBM Langflow OSSを利用しているものの、稼働版を把握できていない会社は、影響対象かどうかの判定が必要です。版が不明なまま、対象外とは判断できません。
- 影響しない: IBM Langflow OSSを利用していない会社は、今回示された製品・版の条件には該当しません。
- 影響しない: 1.0.0から1.12.2までの範囲外は、今回の掲載情報では影響対象として挙げられていません。ただし、範囲外の版の安全性や修正状況まで確認されたという意味ではありません。
情シスが今日やること
- 今日中に、IT資産台帳と運用・開発担当者への確認で、IBM Langflow OSSの利用有無、稼働版、管理担当者を一覧にします。版を確認する管理画面の場所は取材資料にありません。担当者には、実環境で確認した版と、その確認方法を報告してもらってください。
- 対象版が見つかったら、管理担当者にユーザー一覧とアクセス権の確認を依頼します。認証済みの攻撃者が低い特権レベルで悪用できるという評価を共有し、管理者だけでなく、利用可能なユーザー全体を確認対象にします。
- JVNが参照するIBMのセキュリティ情報で、CVE-2026-104335に対する措置を確認します。修正版や手順は推測せず、稼働版に適用できる対策を担当者と照合してください。
- 今日中に、利用部門と運用責任者へ対象環境、情報の漏えい・書き換え・停止の恐れ、対策の確認状況を知らせます。対応期限は取材資料に記載されていないため、社内で実施予定日と責任者を決め、未確認事項も記録してください。
