IBM Langflow の MCP エンドポイントで未認証の越境アクセス（CVSS 9.8・認可欠如）

Critical（CVSS 9.8）に分類されるIBM Langflow OSS 1.0.0〜1.9.6の脆弱性です。LLM アプリを画面上で組み立てるオープンソースツール Langflow の 1.0.0〜1.9.6 に、MCP（Model Context Protocol）の Streamable トランスポート用エンドポイントで認可を正しく適用していない欠陥がある。未認証の攻撃者が、本来は所有者だけがアクセスできる別プロジェクトの MCP リソースへ到達し、その MCP 操作（ツール実行など）を呼び出せる。NVD の再解析による CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:H）で、採番元 IBM は 9.1（A:N）と評価している。いずれにせよ認証も利用者操作も不要で、ネットワークから到達できれば成立する。 MCP は外部のツールやデータソースへ橋渡しする仕組みであり、ここで越境実行が通ると、そのプロジェクトが接続している下流の資源（API キー・ファイル・外部サービス）まで影響が波及しうる。Langflow は検証目的で認証なしのまま社内やクラウドに残されやすく、「内部からしか見えないつもり」のインスタンスが実際には外部到達可能、という形の事故が起きやすい。IBM のセキュリティ情報では 1.9.7 で修正されたとされている。

まず自組織で Langflow が動いていないかを洗い出す。開発者が個人で立てた検証用インスタンスが対象になりやすいので、コンテナイメージ名（langflowai/langflow）や既定ポートでの稼働を横断的に確認する。 見つかったら 1.9.7 以降へ更新する。更新できるまでの間は、インターネットからの到達を遮断するのが最優先である。ALB/WAF・Cloud Armor・Application Gateway・セキュリティグループのいずれでもよいので、MCP のエンドポイント（/api/v1/mcp 系）への外部到達を落とす。この欠陥は未認証で成立するため、認証を有効にするだけでは防げない。 既に外部到達可能な状態で運用していた場合は、接続していた MCP プロジェクトの資格情報・API キーのローテーションを検討する。

IBM Langflow OSS 1.0.0〜1.9.6 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-7663）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。