CVE-2026-9198: Langflow は誰にでもスーパーユーザートークンを発行し、送信されたものをそのまま実行した

IBMのCVE-2026-9198に関する告知は、Langflow OSSの2リクエストによる乗っ取りを説明している：プラットフォームの自動ログインエンドポイントを呼び出すと、要求した者なら誰にでもスーパーユーザー用ベアラートークンが返され、2回目の呼び出しではコード検証エンドポイントにPythonをPOSTすると、同エンドポイントがそれを実行する。ベンダーはこのチェーンの2つの部分を別々の識別子で登録しており — 認証欠如にはCVE-2026-9103、実行にはCVE-2026-8481 — 組み合わせをCVSS 3.1で9.8と評価している。ネットワーク経由で、特権なし・ユーザー操作なしで到達可能である。バージョン1.0.0から1.10.0のデフォルトデプロイが影響を受け、修正版は1.10.1で、IBMは回避策を記載していない。米国サイバーセキュリティ・インフラストラクチャー安全保障局（CISA）は2026年8月4日、このCVEを「Known Exploited Vulnerabilities」カタログに追加し、連邦政府の修復期限を8月7日とした。その記録、その深刻度と危害タグ、およびその周辺で登録された項目が保管されているOrca AI Incident Archiveは、このインシデントをシリーズの残りと並べて掲載している。

IBMの3つの広報誌にみる連鎖

IBMはこの脆弱性を1つではなく3つの文書として公開しており、それらをまとめて読むことでメカニズムが理解しやすくなります。チェーン全体はCVE-2026-9198で、CWE-94に分類されるコードインジェクションの問題であり、スコアは9.8、ベクターはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — ネットワーク到達可能、低複雑性、権限不要、ユーザー操作不要、機密性・完全性・可用性への影響は高。その前半はCVE-2026-9103で、CWE-306に分類される重要機能の認証欠如であり、こちらも9.8。その後半はCVE-2026-8481で、再びCWE-94だがスコアは9.9: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H、権限なしではなく低権限、およびスコープ変更。

9.9はこの算術のうち正直な部分だ。コード検証エンドポイントは、それ自体が部外者に開かれていたわけでは決してない。IBMはこれを、『認証済みの任意のユーザーがLangflowサーバープロセスの完全な特権で任意のシステムコマンドを実行できるようにした脆弱性』と説明している。この連鎖を未認証にするのは前半部分、すなわち自動ログインエンドポイントであり、IBMの説明によれば、これは「AUTO_LOGIN設定が有効な場合（デフォルトで有効）、認証を要求せずに長期間有効なスーパーユーザー用ベアラートークンを発行する」。同速報はさらに、トークンが365日の有効期間を持ち、あまり注目されていない第2の露出経路も記録している。それは、認証情報付きでワイルドカードオリジンを許可する、寛容なクロスオリジンリソース共有のデフォルト設定であり、IBMによれば「任意のウェブサイトからのドライブバイ型トークン窃取を可能にし得る」という。

実行側こそ、じっくり検討する価値がある部分だ。IBMの要約には、バリデータが「ユーザーが送信したコードをコンパイルおよび実行した。これには、デフォルト引数やデコレータといった関数定義時の評価も含まれる」とあり、そのため攻撃者は実行可能な式をデフォルトパラメータやデコレータに紛れ込ませることができたと述べられている。これは安全でないコードについての比喩ではない。デコレータは、それを囲むdefが構築されるときに評価されるので、唯一の明示的な目的が関数の構文チェックであるリクエストでも、それに付随するものは何であれ実行されてしまう。IBM自身の連鎖アドバイザリも、一つの節で同じことを述べている——検証と実行は同じ操作だったのだ。CVE-2026-8481の公告に記録された修正は、「検証経路からコード実行を削除し、コンパイルチェックのみを実行する」ことだった。

1つの小さな不一致は、ハンティングに影響するため記録する価値があります。連鎖した速報はトークンエンドポイントを/api/v1/auto_loginと記述しており、Cloud Security AllianceとField Effectも同様です。IBMの別個のCVE-2026-9103速報はそれを/api/v1/login/auto_loginと記述しています。IBMの両文書は同じエンドポイントを説明しており、動作についてどちらも誤っていません。実行パスはどこでも同一に記述されています：POST /api/v1/validate/code。

日付の出どころ

アーカイブはこの記録の日付を2026年8月6日としている。2026年10月30日に閲覧したCISAのカタログ項目では、追加日を2026年8月4日と記録し、修復期限を8月7日に設定している。周辺の報道は、アーカイブの日付そのものではなく、その前後に位置している。Field Effectは8月5日に公開し、cvetodoとタイの国家コンピューター緊急対応チームはいずれも8月7日に公開した。掲載、それが生み出す期限、それについて書かれた記事は三つの異なる出来事であり、したがってこれらの日付は互いに矛盾しない。しかし、アーカイブの日付欄とCISAの日付欄の間の2日間の隔たりこそが、正確な日付が問題となる場合にカタログを読むべき理由である。

開示時期を特定するのはより難しく、情報源の間でも本当に意見が分かれている。連鎖したCVEに関するIBMの告知ページには初回公開日として2026年7月2日が、更新日として2026年8月17日が記載されている。Field EffectはIBMの開示を7月2日としている。8月18日付のCloud Security Allianceの調査ノートは、開示と、それに伴う1.10.1のリリースを7月17日としている。cvetodoも同様に述べている。二つの日付の読み方には15日の隔たりがあり、どちらの文書も杜撰ではないため、本記事はどちらかを選び取ることはしない。いずれの読み方をしても確かなのは、パッチがKEVリスト登録より前に公開されたこと、そしてそれを搭載したリリースが1.10.1であることだ。

CISAの登録内容が各フィールドで正確に示している事柄は、その見出しよりも範囲が狭い。製品はベンダーIBM、製品名Langflowの下に位置し、脆弱性は「デフォルトのLangflow配備において未認証の攻撃者が完全なリモートコード実行を達成できるようにするもの」と説明されており、ランサムウェアキャンペーンでの既知の使用は不明と記録され、フォレンジックトリアージはBOD 26-04に基づき必須とされ、必要な措置はベンダーの指示に従って緩和策を適用すること、または緩和策が利用できない場合には製品の使用を中止することである。

搾取の記録

CISAのリストは、この脆弱性が実際に悪用されたと主張している。だが、その主張を裏付ける公開証拠は、9.8というスコアが示唆するほど充実したものではない。IBMもCISAも脅威アクターを特定しておらず、観測されたキャンペーンの詳細も公表していない。Field Effectはこれを明言しており、IBMの3件のセキュリティ速報やKEVエントリの中に、それを否定する記述は見当たらない。

代わりに存在するのは、ベンダーのテレメトリが二次的に伝達されたものだ。クラウドセキュリティアライアンスの注記は、悪用の試みが「2026年7月6日頃」から記録されていたという主張の根拠として{{KEVIntel}}を挙げている。これはアライアンス自身の推計による開示の数週間前であり、8月中旬までに累計の試行回数は数百件に増加し、数十カ国にまたがる数百の固有のインターネットアドレスから発信されていたという。これらの数字は1社の監視企業に由来し、この記事のために確認した他のどの情報源にも現れていない。本稿ではこれらを報告するが、裏付けは取れていない。

開始日については再検討する価値がある。試行が本当に7月6日ごろに始まっていたなら、それはIBMのページに記載された公告日から4日後であり、他の2つの情報源が示す7月17日より11日前になる。したがってテレメトリは、どちらの開示日も裏付けることも反証することもできない。Cloud Security Allianceはどちらかを選ぶことなく両方の説明を提示し、初期の活動を、日和見的なスキャナによる独自の発見か、協調的開示に先立つ技術的詳細の漏洩のいずれかとして説明している。

公開されたエクスプロイトコードは、より詳しく文書化されている部分である。Field Effectは、このチェーンに関する公開説明の出典を、リポジトリ github.com/0xdak/CVE-2026-9198_exploit にある「2026年7月に公開された公開概念実証（PoC）」に帰し、そのコードは自動ログインエンドポイントを通じてスーパーユーザートークンを取得し、それを検証エンドポイントに対して使用することを実証していると述べている。Field Effectは、そのリポジトリの作者を、観測されたいずれかの悪用と結び付けておらず、本記事も同様である。また、確認したどの情報源も、侵害されたホストからの認証情報の盗難が確認されたとは報告していない。Langflowの脆弱性に一般に付随する認証情報収集に関する説明は、そうしたホストが何を保持し得るかについての評価（以下で扱う）であり、本記録における特定の被害者に関する知見ではない。

確立済み、報告済み、および未確立

• 確認済み。 CVE-2026-9198は、自動ログインエンドポイントにおける認証の欠如と、コード検証エンドポイントにおけるコード実行を連鎖させること、IBMはこの連鎖をCWE-94の下で9.8と評価し、その2つの部分を9.8および9.9と評価していること、Langflow OSS 1.0.0～1.10.0のデフォルト展開がWindows、macOS、Linuxのすべてで影響を受けること、1.10.1が修正版でありIBMは回避策を公開していないこと、CISAがこのCVEをKEVカタログに追加し、連邦政府の期限を2026年8月7日としたこと。IBMの3件の速報は一次資料であり、メカニズムについて互いに一致している。

• 独立に再述。ThaiCERTは2026年8月7日のアドバイザリで、同じ2つのエンドポイントからなるチェーン、同じ9.8スコア、同じ影響範囲、同じ1.10.1の対策を再現し、さらにIBMの公告にはないネットワーク制御を追加した。Langflowの管理インターフェースを公共インターネットから切り離し、VPNまたは厳格なアドレス許可リスト経由でのみ到達できるようにすることだ。これは、ベンダーの文言に利害関係を持たない政府機関によって、そのアドバイザリがどのように読まれたかを裏付けるものであり、脆弱性の独立した発見ではない。

• 報告されているが、裏付けはない。悪用件数の内訳は、数百回の試行、数百件のアドレス、数十か国、7月6日頃から。これらはある監視企業の数値で、調査機関によって伝えられたものだ。CISAのリストは、悪用が発生したことを確認しているが、その件数は定量化していない。また、ここで検討した資料には、第二のテレメトリ情報源は見当たらない。

• 未確定。氏名が明らかになった被害者も、氏名が明らかになった行為者もいない。国家や犯罪グループへの帰属もない。インターネットから到達可能だったLangflowインスタンスの数について確認された数字はなく——cvetodoは8月7日、IBMが悪用の規模についての質問に回答していないと報じた——またそれ以降、それを定量化したベンダーの声明もない。このアーカイブはこの記録を信頼度Aと評価し、異議ありとはしていない。そしてここで検討したものの中に、それに異議を唱えるものはない。欠落は公開証拠の欠落であり、脆弱性が存在し悪用されたという主張の欠落ではない。

• 意図的に除外。ThaiCERTの勧告も、同じ週のAI主導の自動スキャンについて述べているが、それを同じCISAバッチ内の別の製品に結び付けており、Langflowには結び付けていない。これはこの記録に関する証拠ではなく、ここではそのようには用いない。

上場後に何が変わったのか

ベンダーの修復策はバージョン番号の引き上げだけであり、それ以外は何もない。IBMの影響製品一覧表には、Langflow OSS 1.0.0から1.10.0までが記載され、修正版として1.10.1が示され、回避策フィールドには「None」と記されている — 3件すべての公告で。CVE-2026-8481の公告はその変更内容を説明している。バリデータは実行をやめ、コンパイルを開始した。自動ログイン部分を扱うCVE-2026-9103の公告は、その修正内容を同じ詳細さで明記しておらず、ここで確認したどのIBM文書も1.10.1のリリース日を示していない。

他のすべての関係者によるガイダンスは、ベンダーのガイダンスより踏み込んでいる。Cloud Security Allianceは、アップグレードしたうえで、実行時に自動ログインエンドポイントが未認証の呼び出し元にトークンを発行しなくなったことを検証するよう推奨しており、バージョン文字列を信頼すべきではないとしている。その明示された理由は、過去のLangflowパッチが不完全な修正のまま出荷されていたことにある。同組織はまた、LANGFLOW_AUTO_LOGIN環境設定を明示的にfalseに設定し、プラットフォームが認証情報を発行するのではなく実際の認証情報を要求するようにすること、および7月初旬以降インターネットに公開されてきたインスタンスは、ログレビューが完了するまでは侵害済みとみなし、そのインスタンスが到達し得るすべての認証情報——モデルプロバイダーのキー、データベース認証情報、クラウドサービスキー——をローテーションすることを推奨している。ThaiCERTはネットワーク面の対応を追加している。すなわち、パブリックインターネット上に管理インターフェースを置かず、VPNまたは許可リストのみとする。いずれも研究者による推奨事項である。IBMは何も公表していない。

クレジット表記が1件、記録に残っている。IBMの謝辞では、この報告をHarish Kolla（GitHubハンドル名Har1sh-k）によるものとしている。Cloud Security Allianceは8月18日の注記で、CVE-2026-9198を、約5か月の間にCISAのカタログに到達した4件目の、未認証または認可バイパスに関する別個のLangflow脆弱性として位置づけ、それ以前の3件の識別子を挙げている。そして同団体の解釈では、このパターンは無関係な欠陥ではなく、単一の認証およびコード実行モデルに対する繰り返しの場当たり的な修正を反映している。この捉え方は、調査ノートで示された同団体の評価であり、独立した監査人による調査結果ではない。また、ここで確認したどの情報源にも、これに対するメンテナーからの公開回答は記録されていない。

KEVリストが解決するものと、解決しないもの

CISAのカタログは、観測された悪用を断言するものであって、インシデント報告ではありません。この項目もその形式に従っています。そこには脆弱性が悪用されたと書かれていますが、誰に対して、誰によって、どの程度の頻度で悪用されたかは書かれていません。ランサムウェアによる悪用は「不明」と記録されています。数値化されたものは何もありません。この一覧が確定させるのは、深刻度スコアでは答えられない一つの問い、すなわちその脆弱性が動作する概念実証から実際の悪用へと移行したかどうかです。BOD 26-04の適用範囲外にある組織——世界の大半がそうですが——にとって、8月7日の期限は何の義務も伴わず、その背後にある事実は、義務を伴っていたとしても同じ重みを持ちます。

Cloud Security Allianceは同じエントリから運用上の結論を導き出している。すなわち、KEVへの掲載は悪用が概念実証（PoC）段階を過ぎたことを示す信頼できるシグナルであり、この脆弱性については、最初に記録された試行からおよそ1か月後に掲載されたというものである。この解釈では、トリアージの前にカタログを待った者は、インシデントを予防していたのではなく、すでにインシデントに対応していたことになる。それが特定のデプロイメントを言い当てているかどうかは、そのログに問うべき問題である。検索すべきエンドポイントのペアはIBMが文書化したものであり、この記録には、その答えを照らし合わせて検証できる被害者が一人も名指しされていない。