生成AIを使ったアプリを、画面上で組み立てられるオープンソースの基盤「Langflow」に、サーバーを乗っ取られかねない脆弱性が見つかり、しかも悪用の試みが観測されています。社内で生成AIの基盤を自前で立てる動きが広がるなか、注意したい事例です。
何が問題なのか
報告によると、Langflowには、ログインできる利用者であれば、サーバー上で任意のコマンドを実行できる脆弱性(CVE-2026-105740・CVSS9.9)があります。利用者がMCPサーバーを「stdio」という方式で追加すると、入力したコマンドの文字列が、検証やサンドボックス(隔離)なしに、サーバー上でそのまま実行されてしまいます。サーバーの一覧を取得したときに即座に実行され、環境変数の注入もできるとされます。影響するのは1.9.0より前の版で、1.9.0で修正されています。
LangflowのGitHub Security Advisories(認証ありRCEの項目)出典: Langflow(GitHub Security Advisory)(引用)
やっかいなのは、すでに悪用の試みが観測されている点です。セキュリティ企業Previdianのアラートによると、おとりのシステム(ハニーポット)に対して、この脆弱性を狙う1,423回の悪用の試みがあったとされます。なお、本サイトでは、Langflowの別の脆弱性(アクセス制御のCVE-2026-104335)も取り上げています。AIの基盤が、くり返し狙われていることがうかがえます。
影響を受けるのはどんな環境か
関係するのは、Langflowを自組織のサーバーに立てて使っている組織です。「ログインできる利用者なら悪用できる」という点が重要で、高い管理権限を持つ人だけでなく、一般の利用者のアカウントが乗っ取られても悪用されうることを意味します。とくに、インターネットからアクセスできる状態に置いていると、リスクが高まります。情シスが把握しないまま、開発部門などが自分たちで立てている「シャドーIT」のケースにも注意が必要です。
情シスが今日やること
- 利用の有無を棚卸しする: Langflowを自組織で使っていないか、開発部門などが独自に立てていないかを確認します。生成AIのアプリ基盤は、把握されないまま動いていることがあります。
- 1.9.0以降へ更新する: 使っている場合は、1.9.0以降へ更新します。悪用が観測されているため、優先度を高めに対応します。
- アクセスできる人を絞る: ログインできる利用者が悪用できるため、インターネットに直接公開していないか、アクセスできるアカウントを必要な範囲に限っているかを確認します。
- 侵害の痕跡を点検する: 見覚えのないMCPサーバーの登録や、不審なコマンドの実行、見知らぬアカウントがないかを確認します。すでに悪用されていた場合、更新だけでは元に戻りません。
生成AIを自前の基盤で動かす動きは、これからも広がります。便利な一方で、その基盤は攻撃者からも狙われます。まず「どこで何を動かしているか」を把握し、更新とアクセスの制限を早めに進めることが、情シスにできる現実的な守りになります。
