情報取得日: 2026/07/17／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-8635 |
|---|---|
| 製品 | IBM / Langflow OSS 1.0.0 - 1.10.0 |
| CVSS | 9.9（Critical） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-94 Improper Control of Generation of Code (Code Injection) |
| 登録／公開日 | 2026/07/17 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-8635 |
Langflow 1.0.0 から 1.10.0 では、認証済みの一般ユーザーがデータベースを直接操作することで superuser へ権限昇格し、任意のシステムコマンドを実行して Langflow サービス権限での完全な侵害まで到達できる。Scope が Changed（S:C）で評価されており、Langflow プロセスの権限境界を越える影響がある。同日公開の CVE-2026-9103（未認証で superuser トークンを取得できる auto_login の不備）と組み合わせると、外部公開されたインスタンスでは「未認証の攻撃者がトークンを得る → 本件でホスト上のコマンド実行」という連鎖が現実的に成立する。単体では PR:L（低権限の認証が必要）だが、Langflow は登録を開放している運用（NEW_USER_IS_ACTIVE=true）も多く、その場合の実質的な難度は低い。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
イメージを 1.10.0 より新しいバージョンへ更新する。あわせて ECS タスクロール / EKS の IRSA から不要な権限を外し、Langflow タスクが他の AWS リソースへ横展開できないようにする。IMDSv2 を必須にし、可能ならタスクからのメタデータアクセス自体を無効化する。
コード実行が成立した場合の実害の大きさはタスクロールの権限で決まる。最小権限化が実効的な被害限定策。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Cloud Run / GKE のイメージを更新する。実行サービスアカウントを専用のものにし、付与ロールを必要最小限にする。GKE では Workload Identity を使い、ノードのデフォルトサービスアカウントを継承させない。
GCP 側に修正パッチは無い。サービスアカウント権限の絞り込みが被害限定に効く。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Container Apps / AKS のイメージを更新する。マネージドIDに付与しているロールを見直し、Key Vault 等への広いアクセスを外す。AKS ではポッドのセキュリティコンテキストで非 root 実行と read-only ルートFSを強制する。
Azure 側に修正パッチは無い。マネージドIDの権限が侵害時の影響範囲を決める。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
`pip install -U langflow` またはコンテナタグの差し替えで 1.10.0 より新しいバージョンへ更新する。systemd 運用なら専用の非特権ユーザーで起動し、`ProtectSystem=strict` `NoNewPrivileges=yes` `PrivateTmp=yes` を設定する。バックエンドDB（既定は SQLite）のファイル権限を確認する。
DB を直接操作されることが起点なので、DB ファイル / 接続情報の保護と、プロセス権限の最小化が要点。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
Langflow を 1.10.0 より新しいバージョンへ更新する（公開済みの最新は 2026-07-07 の v1.10.2）。加えて、この CVE は「Langflow の利用ユーザーはホスト上でコード実行できる潜在能力を持つ」という前提で運用設計を見直す契機として扱うべきである。具体的には、(1) Langflow を専用のコンテナ・専用ノードで動かし、他のワークロードと同居させない、(2) 実行ユーザーを非 root にし、コンテナに read-only ルートファイルシステムと最小の capability だけを与える、(3) Langflow のプロセスに強い IAM ロール / サービスアカウントを紐づけない（クラウド認証情報の窃取を前提に権限を絞る）、(4) 利用者の自己登録を無効にし、アカウントを棚卸しする、(5) バックエンドDBへの接続情報を Langflow プロセス以外から使えないようにする。
Critical（CVSS 9.9）に分類されるIBM Langflow OSS 1.0.0 - 1.10.0の脆弱性です。Langflow 1.0.0 から 1.10.0 では、認証済みの一般ユーザーがデータベースを直接操作することで superuser へ権限昇格し、任意のシステムコマンドを実行して Langflow サービス権限での完全な侵害まで到達できる。Scope が Changed（S:C）で評価されており、Langflow プロセスの権限境界を越える影響がある。同日公開の CVE-2026-9103（未認証で superuser トークンを取得できる auto_login の不備）と組み合わせると、外部公開されたインスタンスでは「未認証の攻撃者がトークンを得る → 本件でホスト上のコマンド実行」という連鎖が現実的に成立する。単体では PR:L（低権限の認証が必要）だが、Langflow は登録を開放している運用（NEW_USER_IS_ACTIVE=true）も多く、その場合の実質的な難度は低い。
Langflow を 1.10.0 より新しいバージョンへ更新する（公開済みの最新は 2026-07-07 の v1.10.2）。加えて、この CVE は「Langflow の利用ユーザーはホスト上でコード実行できる潜在能力を持つ」という前提で運用設計を見直す契機として扱うべきである。具体的には、(1) Langflow を専用のコンテナ・専用ノードで動かし、他のワークロードと同居させない、(2) 実行ユーザーを非 root にし、コンテナに read-only ルートファイルシステムと最小の capability だけを与える、(3) Langflow のプロセスに強い IAM ロール / サービスアカウントを紐づけない（クラウド認証情報の窃取を前提に権限を絞る）、(4) 利用者の自己登録を無効にし、アカウントを棚卸しする、(5) バックエンドDBへの接続情報を Langflow プロセス以外から使えないようにする。
IBM Langflow OSS 1.0.0 - 1.10.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8635）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。