Langflow CVE-2026-0768：今年、実際の攻撃で悪用された12件目のLangflowの脆弱性

CVE-2026-0768は、大規模言語モデルのパイプラインやエージェントを組み立てるためのオープンソースのビジュアルフレームワークであるLangflowにおける、認証不要のリモートコード実行の脆弱性であり、2026年8月末までに攻撃者によって実際の環境で悪用されていた。この脆弱性は、Langflowのカスタムコンポーネントエディターを支えるコードバリデーターに存在する。validateエンドポイントはcodeパラメーターを受け取り、そこに含まれるPythonを、認証なしで、Zero Day Initiativeの表現によれば「rootのコンテキストで」実行する。VulnCheckのCanaryハニーポットネットワークは、2026年8月30日の最初の検知から数時間以内に50件を超える悪用試行を記録し、9月1日月曜日までに360件を超えた。いずれも英国にあるセンサーに対するものだった。VulnCheckのCaitlin Condonは、送信元トラフィックは主にロシアで発生したと述べた。これらのリクエストはランサムウェアではなかった。Langflowのスーパーユーザー資格情報、OpenAI APIキー、AWSのアクセスキーとシークレットキーを保持する環境変数を読み取り、その後/root/.cache/langflow/secret_key、.ssh、.bash_historyを探し回った。このインシデントに関するアーカイブの完全なエントリは、その重大度、信頼度、被害の分類を含め、Orca AI Incident Archiveにあり、その周囲にある他の資格情報窃取やAIインフラストラクチャの記録と並んで収録されている。

Security Affairsは2026年9月2日に自らの記事を公開した。SecurityWeekのIonut Arghireは前日にその悪用を報じ、BleepingComputerのBill Toulasはその週に取り上げ、Cloud Security AllianceのAI Safety Initiativeは9月4日に、メカニズムを再説明して提言を加えた調査ノートで続いた。本記事のために確認したどの記事も、侵害された組織を名指ししていない。すべてはVulnCheck自身のセンサーと、Zero Day Initiativeが1月に公開したアドバイザリに遡る。

検証を求められた内容を実行するエディター

Langflowの売りは、コンポーネントをキャンバスにドラッグしてAIアプリケーションを組み立てられることです。カスタムコンポーネントはPythonで、エディター上でユーザーがコードを貼り付けて検証ボタンを押すと、サーバーがそれをチェックします。ZDIアドバイザリZDI-26-034によると、そのチェックがコードを実行してしまいます。アドバイザリの根本原因を述べた一文は「ユーザー提供の文字列をPythonコードの実行に使用する前の適切な検証の欠如」という一行で、結果として、単一の未認証HTTPリクエストによってホスト上で任意のPythonが実行されます。

3つの特性が、これを単なるバグ報告ではなくインシデントに変えます。CVSS ベクトルは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、スコアは 9.8 です。ネットワーク経由で到達可能、低い複雑性、権限不要、ユーザー操作不要であり、機密性、完全性、可用性がすべて失われます。実行コンテキストは root であるため、Condon と Cloud Security Alliance の両方が説明している攻撃者コマンドは /root/.cache/langflow/secret_key を目指します。これは Langflow が保存済みの認証情報とセッションデータを暗号化するために使用するファイルです。さらに、このエンドポイントは認証情報をまったく要求しないため、露出は到達可能性だけの関数になります。

開示の経緯は、この件がどう展開したかに影響します。ZDIのタイムラインには、2025年7月18日に報告がLangflowのGitHubアカウントに届いたこと、2025年9月11日に更新を求めたこと、2025年10月10日に修正を求めたこと、2025年12月10日にゼロデイとして公開する意向を通知したことが記録されています。ZDIは2026年1月9日にアドバイザリを公開しました。クレジットされている研究者は、Trend ResearchのPeter Girnus、William Gamazo Sanchez、Alfredo Oliveiraです。GitHubのアドバイザリデータベースには、2026年1月23日に公開されたGHSA-x5pr-rvjj-j6qmとして同じ文言が掲載されており、CWE-94に分類され、影響を受けるバージョン範囲はまったく記載されていません。ZDIが示した緩和策はパッチではなく、「製品とのやり取りを制限する」ことです。

公開報告では、影響を受ける範囲はLangflowの1.4.2以前のリリース（1.4.2を含む）とされており、これは後から追加されたMetasploitモジュールのビルドおよびテスト対象となったバージョンです。確実なのはここまでで、その理由については以下の修正に関するセクションで説明します。

360検知が立証することと、立証しないこと

VulnCheckのCanariesは、攻撃者がスキャンしている対象そのものに見えるように作られた、インターネットに面したセンサーだ。同社は、CVE-2026-0768が悪用されるのを2026年8月29日～30日に初めて確認した。日曜日には数時間で50件を超える検出があり、月曜日までに360件超に増加した。VulnCheckの脅威リサーチ担当バイスプレジデントであるCondonは、LinkedIn上でこの活動を「偵察と認証情報の収集が混在したもの」と表現し、さらに送信元トラフィックは主にロシアから発信されており、「これまでのところ英国のCanariesのみを標的にしている」と付け加えた。

センサーが捕捉した一連のコマンドは、プレイブックとして使えるほど具体的だった。攻撃者は環境内で LANGFLOW_SUPERUSER を、OPENAI_API に一致する変数を、そして AWS_ACCESS キーと AWS_SECRET キーを検索した。これらは Langflow ホストが保持している可能性が最も高い3つの認証情報ファミリーである。彼らは /root/.cache/langflow/secret_key にあるキャッシュされた秘密鍵を読み取った。.ssh へのアクセスを確認し、.bash_history のサイズを調べた。いずれも、オペレーターが単に秘密情報を読むだけでなく、横展開できるかどうかを示すものだ。Cloud Security Alliance が引用したこの攻撃チェーンに関するコミュニティの記事によると、同じ活動はソースツリーと .env ファイル内の埋め込み秘密情報を検索し、見つけたものを外部に持ち出し、独自の永続化を追加する前に、ホストが以前のオペレーターによってすでにバックドア化されていないかを確認した。

それが立証しているのは、エクスプロイトが機能すること、インターネットに面したLangflowインスタンスに対して使用されたこと、そして目的がサービス妨害ではなく認証情報の窃取であったことだ。立証していないのは、被害者の存在である。カナリアはおとりであり、検知はリクエストにすぎず、窃取が確認されたわけではない。このアーカイブは本記録を実害に分類しているが、公開情報源で裏付けられている害とは、公開されたシステムに対して認証情報窃取コードが実行されたことが確認されたということであり、鍵を悪用された特定の組織の名前が判明したということではない。

開示に関する一般的な説明とは相容れない細部が一つある。VulnCheckによると、悪用が始まった時点でCVE-2026-0768の公開された概念実証（PoC）は存在していなかった。勧告は約8か月間公開されており、その文章から誰かがエクスプロイトを構築できるほど正確に脆弱性を説明していた。The Hacker Newsが報じた同社の見解では、これは漏えいしたコードの再利用ではなく、独立した導出だったという。

12の欠陥、1万5000回の試行——そしてその数字が崩れる地点

この事件に重みを与える統計はVulnCheckによるもので、言い換えではなく同社自身の言葉で引用する価値がある。「2026年より前は、実際の攻撃で悪用されていることが知られていたLangflowの脆弱性は1件のみであることを証拠は示していた」と同社は述べた。「2026年には、状況は急速に変化した」。SecurityWeekは、VulnCheckが2026年中に「標的とされ、実際の攻撃で悪用されたと報告された追加の脆弱性11件」を追跡していると報じている。

それらを加えると、悪用されたLangflowの脆弱性は12件になり、そのうち1件は今年より前のものだ。これは2026年に12件あったということと同じではなく、情報源は二つの捉え方の間で揺れている。Forkastの見出しはCVE-2026-0768を「Langflow's 12th Exploited CVE of 2026」と呼ぶ一方、同じ記事の本文はその12件を「11件の新しい脆弱性と、年初より前に確認された1件」と説明している。記録のタイトルは見出しに従っている。厳密に読めば、12件のうち11件が2026年に該当し、12件目、つまり今年より前に知られていたものが残りを構成する。

1万5,000という数字にも、同様の無理がある。SecurityWeek、The Hacker News、Forkastはいずれも、「1万5,000件を超える攻撃成功」を、名前が挙げられた3つの脆弱性——CVE-2026-0769、CVE-2025-3248、CVE-2026-5027——に帰している。これは大きな数字だが、3つのCVEにまたがる集計であり、Langflowの2026年のポートフォリオ全体にまたがる集計ではない。それを、アーカイブの要約がそうしているように、ポートフォリオに対する悪用試行として表現するのは、VulnCheckが公表した内容より広い範囲を指すことになる。

このパターンの背後にある個々の項目は文書化されている。Cloud Security Allianceが引用したGitHubアドバイザリGHSA-rvqx-wpfh-mfx7によると、CVE-2025-3248は同じ/api/v1/validate/codeエンドポイントにおけるコードインジェクションの脆弱性で、Langflow 1.3.0では実行をコンパイルのみの検証に置き換えることで修正された。つまりCVE-2026-0768は、その修正が出荷されてから約4か月後、同じコードパスにおける同種のバグである。Cloud Security Allianceの説明によると、公開フロービルドエンドポイントにおける未認証のRCEであるCVE-2026-33017は、2026年3月の公表から約20時間以内に武器化され、OpenAI、Anthropic、AWSの認証情報を窃取するために使われた後、Moneroの暗号通貨マイニングに移行した。同じ団体の2026年6月12日の注記は、研究者がイラン国家支援グループMuddyWaterと関連付けた、ファイルアップロードエンドポイントにおけるパストラバーサルの脆弱性CVE-2026-5027を扱っており、9月4日の注記は、認証済みユーザーが別のユーザーのフローを実行できるようにする認可バイパスであるCVE-2026-55255が2026年7月7日にCISAのKnown Exploited Vulnerabilitiesカタログに掲載されたことを記録している。これら4件には共通する構図がある。通信するあらゆる対象の認証情報を保持することを役割とするプラットフォームにおいて、認証かサニタイズのいずれかを省略したエンドポイントが存在していたのだ。

オーケストレーションプラットフォームはなぜ手間をかける価値があるのか

本番環境のLangflowインスタンスには、プロバイダーのAPIキー、クラウド認証情報、データベース接続文字列、統合シークレットが設定されています。これは、実行するフローが呼び出し時にそれらを必要とするためです。したがって、ホストが侵害されると、インスタンスが保存する認証情報を持つすべてのサービスへの有効なアクセスが得られます。盗まれたOpenAIまたはAnthropicのキーにより、攻撃者は推論費用を被害者に請求させたり、下流で組織をなりすましたりできます。盗まれたAWSキーは、Langflowコンテナをはるかに超えたインフラへの扉を開きます。観測されたコマンドが狙っていたのは、AI固有の能力ではなく、このような支配力でした。

Cloud Security Allianceの判断は、1年の間にLangflowの4つの異なるサブシステム——コードバリデータ、公開フロービルドエンドポイント、ファイルアップロード、ワークフロー実行——で再発していることは、無関係な欠陥の連続ではなく、セキュリティエンジニアリングにおける体系的なギャップを指し示すというものだ。これは、リサーチノートで示された同アライアンスの評価であり、独立監査人による調査結果ではなく、ここで検討した資料においてLangflowはこれに公に応答していない。

何が修正され、何が依然として曖昧なままなのか

これが公開記録の中で最も弱い部分であり、なぜそうなのかを正確に述べる価値がある。ZDIの勧告は修正済みバージョンを明示していない。SnykのCVEデータベース項目では、影響を受けるバージョンを1.10.1より前のすべてと記載し、1.10.1以降へのアップグレードを推奨している。SecurityWeekやSecurity Affairsを含む公開報道は、影響範囲を1.4.2までのリリースと説明しているが、修正済みリリースは特定していない。Cloud Security Allianceは9月4日、LangflowのメンテナーがこのCVEを名指しした専用のセキュリティ勧告を公開していないこと、およびどのリリースが実際に修正したかについてトラッカー間で見解が一致していないことを指摘した。同団体によれば、この曖昧さは、修正済みと報告されたバージョンが依然として悪用可能だった以前のLangflowの事例を想起させるものである。

Langflowは確かに、適切な領域で、適切な日に修正を出荷した。バージョン1.11.6は2026年9月1日、ハニーポットの数が360を超えた月曜日に公開され、そのリリースノートには「コンポーネントコードスキャンのギャップを塞ぐ」「実行せずにアノテーションを解決する」を含むセキュリティ修正のバックポートが記載されている（プルリクエスト14876）。バージョン1.12.0はその夜に続いて公開された。その後も同じコードパスの強化は続いた。後続の「validate_codeがインポートを実行しないようにする」と題されたプルリクエストは、最初の悪用から数週間後もvalidateエンドポイントが依然として厳格化されていたことを示している。しかし、そのいずれも、CVE-2026-0768が名前を挙げたリリースで修正されたというベンダーの声明を構成するものではなく、記録の引用元にもそのような声明は見つからなかった。

攻撃者側で何が変わったかは、より明確だ。この脆弱性に対するMetasploitのエクスプロイトモジュールは、2026年9月2日にプルリクエストとして公開され——Security Affairsが公開した同じ日——、2026年10月8日にマージされ、Langflow 1.4.2に対してテストされた。元の導出がどのような状態であったとしても、この脆弱性の悪用は、悪用され始めてから6週間後に、独自の作業を必要としなくなった。

Cloud Security Allianceが推奨する対応は、単なるパッチ適用ではなく、パッチ適用とローテーションの一連の対応である。実行中のバージョンを確認して最新の安定版リリースに移行すること、影響を受けるバージョンでインターネットに公開されているインスタンスは、そうでないと証明されるまで侵害されたものとして扱うこと（観測された活動は目に見える妨害ではなく、静かな収集であるため）、そしてインスタンスが到達できたすべてのシークレット、すなわちLangflowのスーパーユーザーパスワード、プロバイダーのAPIキー、AWSのアクセスキーとシークレットキー、およびLangflowのシークレットキー自体をローテーションし、ファイルを単に置き換えるのではなく保存された認証情報を再暗号化することだ。また、validateエンドポイントへのリクエストについてアクセスログを監査すること、authorized_keysに不慣れなSSHキーがないか確認すること、以前の運用者がすでにホストにバックドアを仕込んだ証拠を探すことも推奨している。プラットフォームを到達可能な状態に保つ必要がある場合は、validateエンドポイントをゲートするか無効化し、プラットフォームに直接保存された長期間有効な高権限キーから移行することを提案している。

確立済み、報告済み、および未確立

確認済み:CVE-2026-0768はLangflowのvalidateエンドポイントにおける未認証のRCEであり、root権限でPythonを実行するものであること、ZDI-26-034で文書化されGHSA-x5pr-rvjj-j6qmとしてミラーされていること、悪用は2026年8月29～30日に始まったこと、VulnCheckは英国のセンサーに対して数時間で50件超、9月1日までに360件超の検知を記録し、トラフィックは主にロシア発であったこと、観測されたリクエストはLangflowのスーパーユーザー、OpenAIおよびAWSの認証情報に加え、キャッシュされた秘密鍵、.sshおよび.bash_historyを標的としていたこと。これらはアドバイザリ自体、およびSecurityWeek、Security Affairs、The Hacker Newsがそれぞれ独立に報じたVulnCheckのテレメトリに基づく。

報告されているが、独立した検証はされていない：すべての検出件数について。50、360、15,000という数字はVulnCheck自身の figures で、同社が公表し、VulnCheckを情報源として明記する媒体によって繰り返されたものだ；これを裏付ける件数を公表した第二のハニーポットネットワークは存在しない。ロシアのインフラへの帰属も同様に、VulnCheckによる送信元トラフィックの解釈であり、今回確認した資料の中でいかなる政府やCERTも支持した評価ではない。

未確認：名前の挙がっている組織が認証情報を失ったということは確認されていない。記録の情報源の中では被害者は特定されていない。また、修正済みバージョンも確認されていない。ZDIはどれも挙げておらず、Snykは1.10.1と述べ、報道では1.4.2まで影響があるとされており、1.11.6のリリースノートはセキュリティ修正について説明しているが、それをこのCVEに結び付けていない。さらに、「2026年の12番目の脆弱性」という数え方も、上記のとおり、それ自体の情報源間で内部的に一致していない。

定期的にパッチを適用している人が気にすべき部分

8か月という空白こそが今回の知見だ。CVE-2026-0768は2026年1月9日にゼロデイとして公開され、再現に十分なほど詳細な技術的説明が付されていたが、VulnCheckのセンサーに対しては8月最後の週末まで何も起こらなかった。その後、3日間に数百回の試行が届いた。同社の説明によれば、それらはコピーできる公開エクスプロイトを持たない攻撃者によるものだった。公開された重大な勧告が出てから8か月間、それらのインスタンスを未パッチのままにした要因は、誰かがついにコードを書いた時にこの脆弱性を悪用する価値があるものにした要因と同じだ。

これはまた、以前のLangflow CVEが開いたループを閉じることにもなる。CVE-2025-3248は、同じvalidateパスから実行を削除することで修正されたが、CVE-2026-0768はそのパス上で依然として実行される。その動作を生み出した設計上の決定を除去せずに動作だけを除去する修正は時間を稼ぐが、このケースでは約4か月を稼いだにすぎない。