【ITニュース解説】Langflow CVE-2026-0768: An Unauthenticated Route to Code Execution in an AI Workflow Builder

LangflowというAIワークフロー構築ツールにおいて、CVE-2026-0768という非常に深刻な脆弱性が発見された。この脆弱性は、認証なしで（つまり、ログインしていなくても）プログラムのコードを自由に実行できてしまうというもので、危険度を示すスコアは9.8点と極めて高い。Langflowは、AIの機能を利用するために必要な秘密の情報、例えばAIモデルに接続するための認証キーや、データベースのパスワードなどを内部に保存しているため、この脆弱性が悪用されると、これらの機密情報が攻撃者の手に渡る危険性がある。概念実証（PoC）と呼ばれる、実際に脆弱性を利用して攻撃できることを示す手法が公開されて以来、この脆弱性を狙った攻撃が世界中で急増していることが確認されている。

この脆弱性の技術的な内容について説明する。LangflowのようなAIワークフローツールは、利用者がAIの処理ロジックを組み立てるためにPythonなどのコードを評価し、実行する機能を持っている。通常、この機能を使うには、正当なユーザーであることを証明する認証（ログインなど）が必要となる。しかし、CVE-2026-0768は、この認証の仕組みを迂回して、認証されていない外部の攻撃者が、Langflowが正規のAIパイプラインを実行する際に利用するのと同じ実行環境で、任意のコードを実行できてしまうという問題だ。

攻撃が成功した場合、何が起こるか。攻撃者の実行したコードは、Langflowのプロセスが持っている権限で動作する。多くのシステム、特にDockerなどのコンテナ技術を用いて展開されている環境では、Langflowのプロセスは、そのアプリケーション専用のユーザーアカウントで動作している。このプロセスが動作する環境には、AIモデルを提供するベンダーのAPIキー、ベクトルデータベースのパスワード、あるいは他の内部サービスに接続するためのトークンなど、AIワークフローを動かすために必要な全ての認証情報（クレデンシャル）が保持されている。したがって、この脆弱性が悪用されると、単にLangflowが稼働しているコンテナ（仮想的な実行環境）に侵入されるだけでなく、その環境に設定されていたあらゆる種類の機密情報が攻撃者に窃取される可能性がある。

実際に観測された攻撃の状況としては、脆弱性の情報公開後すぐに検知数が数十件から数百件へと急増し、攻撃の大部分はロシア関連のインフラから発信されていることが報告されている。攻撃者たちが狙っているのは、システムの物理的な破壊ではなく、機密情報の窃盗や、将来にわたって継続的にシステムへアクセスできる経路を確立することに重点が置かれている。これは、攻撃者が盗んだ情報をもとに、さらに別のシステムへの侵入を試みたり、長期的な諜報活動を行ったりする意図があることを示唆している。

このような深刻な脆弱性からシステムを守るためには、いくつかの重要な防御策を講じる必要がある。

まず最も重要なのは、Langflowを直ちに修正済みの最新バージョンへアップデートすることだ。この更新は、特にインターネットに公開されているLangflowのインスタンス（稼働中のシステム）から優先的に適用すべきである。もしLangflowがインターネットに公開されている必要がないのであれば、インターネットからのアクセスを完全に遮断することが、非常に効果的な対策となる。多くのAIワークフローツールは、通常、組織内部の限られたユーザーが利用するためのものであり、インターネットに公開されているのは設定ミスや不注意による場合が多い。

次に、もし攻撃を受けた可能性を完全に排除できない場合は、Langflowのプロセスが読み取り可能な全ての機密情報を、新しいものに更新（ローテーション）する必要がある。これには、AIモデルプロバイダーのAPIキー、データベースの認証情報、ベクトルストアのトークン、およびLangflowの環境変数や設定ファイル内に存在するあらゆるサービスアカウントの秘密情報が含まれる。これらの情報を更新する際は、他の秘密情報を保護している認証情報から優先的に更新していく「依存関係の順序」を考慮することが推奨される。また、可能であれば、古い認証情報を単に置き換えるだけでなく、その認証情報を無効化する「失効」手続きを行うべきである。

さらに、システムが実行されている段階で、攻撃による被害の範囲（ブラスト半径）を最小限に抑えるための対策も重要である。Langflowのサービスは、必要最低限の権限しか持たない専用の非特権アカウントで実行するように設定する。これにより、たとえシステムが侵害されたとしても、攻撃者がシステム全体に影響を及ぼすことを困難にできる。機密情報は、サーバーの環境変数として直接設定するのではなく、より安全な「シークレットストア」（機密情報を安全に保管・管理する専用のシステム）から必要な時にマウントして利用するようにすべきだ。これにより、システムの一部が侵害されても、機密情報がすぐに漏洩するリスクを軽減できる。また、Langflowからの外部へのネットワークアクセスは、実際に利用するAIモデルやデータのエンドポイント（接続先）に限定するように厳しく制限する。これにより、攻撃者が外部の不正なサーバーと通信するのを防ぐことができる。加えて、インターネットに公開されているインターフェースでの要求ログを有効にし、不審なIPアドレスからのコード評価パスへのアクセスがないか、定期的に確認する習慣を持つことが推奨される。

AIワークフロープラットフォームは、単なる開発支援ツールと認識されがちだが、実際にはデータストア、AIモデルプロバイダー、そして組織内の重要なAPIの間に位置する、極めて重要なインフラストラクチャの一部であると認識すべきだ。そのため、攻撃者にとっては非常に魅力的な高価値の標的となる。利用者は、プラットフォームの認証機能が全てのセキュリティを保証していると思い込みがちだが、実際にはそれだけでは不十分な場合が多い。通常のプロダクションシステムと同様に、厳格なパッチ適用プログラムと包括的なセキュリティ対策を講じることが不可欠である。