分析

Langflowが認証バイパスを含む9.8の重大な脆弱性2件をバージョン1.13.0で修正

IBMは認証バイパスとコード実行のLangflowの脆弱性2件（9.8）を1.13.0で修正済みと説明。回避策はなく、11月2日時点で悪用の報告はない。

執筆： Audryk · 2026年11月3日

• #Langflow
• #IBM
• #CVE-2026-93680
• #認証バイパス
• #リモートコード実行
• #MCP

IBM Securityは2026年10月28日（10月29日に更新）、AIエージェントのワークフローを作るオープンソースのプラットフォームであるLangflow OSSについてセキュリティ情報を公開した。重大な脆弱性としてCVE-2026-93680とCVE-2026-110186の2件を挙げており、どちらも10点満点で9.8と評価され、バージョン1.13.0で修正された。つまりこのスコアの脆弱性は1件ではなく2件である。2026年11月2日時点で、これらのCVEが悪用されたという報告はない。私たちは何も検証していない。

要点

• 確定していること：9.8（CVSS 3.1）と評価された2件の脆弱性。ネットワーク経由で到達でき、権限もユーザー操作も不要。影響を受けるのはWindows、Linux、macOS上の1.0.0から1.12.8で、1.13.0で修正。
• IBMの推奨：バックアップを取ったうえで1.13.0へ更新する。IBMは回避策（workaround）を示していない。
• 悪用：11月2日時点で報告はなく、CISAのKEVカタログにも載っていない。今後変わりうる。
• 落とし穴：自動ログインに頼っていた環境では、更新の前にパスワード付きのアカウントを用意する。

IBMのセキュリティ情報とCVEは何を述べているのか

CVE-2026-93680は、リモートから認証を回避できる問題（CWE-287）である。ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hで、ネットワーク経由で到達でき、権限も操作も要らない。セキュリティ系の報道とOstorlabによれば、初期設定で有効だった自動ログイン（「auto-login」）の確認に対する不完全な修正だという。1.13.0では、自動ログインは初期設定で無効になる。

CVE-2026-110186は、コード生成の制御が不十分なために任意のコードを実行できる問題（CWE-94）である。こちらも9.8で、ベクトルは同じ。セキュリティ情報は、MCP（Model Context Protocol）のツール列挙を経由する、認証不要の経路を説明している。報道によれば、CVEの説明はこの経路を特定の識別子に明示的には結びつけていない。

セキュリティ情報には、ほかにLangflowの脆弱性が2件ある。CVE-2026-110193（8.8）は、権限の低い認証済みユーザーが「Agentic Assistant」にOSのコマンドを実行するコードを生成させられる問題。CVE-2026-110192（6.5）は、認証済みユーザーに対して認証情報の保護が不十分な問題。ライブラリHonoの脆弱性3件（5.9、5.3、6.5）も挙げられている。

出典：IBM Securityのセキュリティ情報。

誰が、どんな条件で影響を受けるのか

バージョン1.0.0から1.12.8までのLangflow OSSのインスタンスすべてである。Ostorlabによれば、リスクの条件は、信頼できない人が到達できるインスタンス（社内ネットワークを含む）であることと、自動ログインが明示的に無効化されていないことである。画面やMCPのエンドポイントへのネットワークアクセスを絞ればリスクは下がるが、修正の代わりにはならない（aicybr、Ostorlab）。

1.13.0で何が変わるのか、締め出されずに更新するには

IBMの手順は、pip install --upgrade "langflow==1.13.0"を実行するか、Dockerイメージlangflowai/langflow:1.13.0を使うこと。先にデータベース、秘密鍵、アップロード済みファイルのバックアップを取る。

自動ログインを使っていた環境では、更新の前にパスワード付きのアカウントを用意する。GBHackers、hol.org、Ostorlabによれば、そうしないと、そのまま更新した1.12のインスタンスが起動を拒むことがある（「Username and password must be set」）。Ostorlabは、更新後にLANGFLOW_AUTO_LOGIN=trueを設定し直すとアクセスが再び開くと付け加えている。修正は、すでに漏れた秘密情報を無効にはしない（aicybr、hol.org）。信頼できない第三者がインスタンスに到達できた場合は、鍵を更新する。

悪用の状況はどうなっているのか

2026年11月2日時点で、これらのCVEが悪用されたという報告はなく、CISAのKEVカタログにも載っていない（Ostorlab、GBHackers、neomanex経由のThe Hacker News）。CVE-2026-110186に対するCISAのADPの登録には、SSVCの評価として、悪用「none」、自動化可能「yes」、技術的影響「total」とある。

公開のMetasploitモジュールがCVE-2026-93680を挙げている。The Hacker Newsによれば、示すのは認証の回避でありコード実行ではなく、対象は1.5.0から1.11.4で、IBMの範囲より狭い。別の先例であるCVE-2025-3248（同じくLangflow）は実際に悪用され、KEVに載っている。両者を混同してはならない。

何が確定していないのか

出典：IBM Securityのセキュリティ情報、CVEの登録情報、報道（一部は自動要約で閲覧）。

これらの脆弱性が今後悪用されるかどうか。11月2日付の「悪用の報告なし」という状況は変わりうるからである。公開状態のインスタンスが実際にいくつあるか。MCP経由の経路がどの識別子に当たるか。そして私たちが読んでいないもの、つまり1.13.0のGitHubのリリースノートとNVD。

比較表

よくある質問

どのバージョンへ更新すればよいのか

1.13.0である。IBMによれば、修正済みはこのバージョンだけで、回避策はない。

これらの脆弱性は悪用されているのか

2026年11月2日時点で報告はなく、CISAのKEVカタログにも載っていない。これはある時点の状況であり、保証ではない。

更新で締め出されることはあるのか

自動ログインを使っていた環境では、ありうる。先にパスワード付きのアカウントを用意し、データのバックアップを取っておく。

方法と限界

IBMのセキュリティ情報とCVEの登録情報（JSON）は全文を読んだ。Ostorlab、GBHackers、aicybr、neomanex（The Hacker Newsの転載）、集約サイトのhol.orgは、自動要約を通して読んだ。The Hacker Newsの元記事（見つからなかった）、1.13.0のGitHubのリリースノート、NVDは読んでいない。私たちは何も検証していない。個別の状況に合わせたセキュリティ助言ではない。

出典

• IBM Securityのセキュリティ情報（2026年10月28日、10月29日更新）
• CVE-2026-93680の登録情報（CVE.org、cvelistV5）
• CVE-2026-110186の登録情報（CVE.org、cvelistV5）
• Ostorlab、自動要約で閲覧
• GBHackers、自動要約で閲覧
• aicybr、自動要約で閲覧
• neomanex（The Hacker Newsの転載）、自動要約で閲覧

この記事の誤りに気づかれましたか？ 報告する · 訂正ポリシー