情報取得日: 2026/07/17／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-9103 |
|---|---|
| 製品 | IBM / Langflow OSS 1.0.0 - 1.10.0 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-306 Missing Authentication for Critical Function |
| 登録／公開日 | 2026/07/17 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-9103 |
LLM アプリ構築ツール Langflow の `/api/v1/login/auto_login` は、AUTO_LOGIN 設定が有効なとき認証を要求せずに長期有効な superuser 権限の bearer トークンを発行する。そして AUTO_LOGIN は既定で有効である。したがって Langflow をネットワークに露出させているだけで、未認証の攻撃者が管理者相当のトークンを取得できる。さらに CORS 設定が緩いため、取得したトークンが意図しないオリジンに漏れる経路も指摘されている。Langflow は 2026年に入ってから CVE-2026-33017（未認証RCE）、CVE-2026-55255（他ユーザーのフローを実行できる IDOR、CISA KEV 登録済み）と、公開状態のインスタンスを狙う脆弱性が続いており、本件も同じ「そもそも外に出してはいけない」系統の問題である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
ECS / EKS / EC2 上の Langflow コンテナイメージを 1.10.0 より新しいバージョンへ更新する。あわせて ALB のリスナーを公開から内部向けに変え、必要なら ALB の OIDC 認証や Verified Access で前段認証を掛ける。セキュリティグループで 7860/TCP を社内 CIDR に限定する。
AWS 側に修正パッチは無い。露出制御（SG / ALB 認証）が実効的な緩和になる。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Cloud Run / GKE 上のイメージを更新する。Cloud Run なら ingress を internal + Cloud Load Balancing に限定し、IAP（Identity-Aware Proxy）で前段認証を掛ける。GKE なら Service を ClusterIP にして外部公開を止める。
GCP 側に修正パッチは無い。IAP による前段認証が未認証アクセスを遮断する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Container Apps / AKS / App Service 上のイメージを更新する。Container Apps は ingress を internal にし、App Service なら Easy Auth（App Service 認証）を有効にして未認証リクエストを拒否する。NSG で受信を制限する。
Azure 側に修正パッチは無い。Easy Auth / NSG による露出制御を併用する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
pip / uv 導入なら `pip install -U langflow`、Docker 運用なら `langflowai/langflow` の新しいタグへ差し替えて再起動する。起動時の環境変数に `LANGFLOW_AUTO_LOGIN=false` を明示し、リバースプロキシ（nginx 等）側で Basic 認証や IP 制限を掛ける。
AUTO_LOGIN を false にすると superuser 資格情報の設定が必要になるため、更新と同時に認証設計を決めること。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
根本対処は Langflow を 1.10.0 より新しいバージョンへ更新すること（NVD の影響範囲は 1.0.0 から 1.10.0、公開済みの最新は 2026-07-07 の v1.10.2）。ただしこの製品については、更新以前に配置の見直しが要る。(1) Langflow をインターネットに直接公開しない。VPN・踏み台・アイデンティティ認識型プロキシの背後に置く。(2) `AUTO_LOGIN` を明示的に false にし、`LANGFLOW_SUPERUSER` / `LANGFLOW_SUPERUSER_PASSWORD` を設定して通常の認証を有効にする。(3) CORS の許可オリジンを実際に使うものだけに絞る。(4) すでに公開運用していたなら、発行済みトークンの失効とフロー内に保存された API キー・認証情報のローテーションを行う。Langflow は過去に「修正版とされたバージョンがまだ攻撃可能だった」事例（CVE-2026-33017）もあるため、更新だけを対策とせず露出の遮断を併用する。
Critical（CVSS 9.8）に分類されるIBM Langflow OSS 1.0.0 - 1.10.0の脆弱性です。LLM アプリ構築ツール Langflow の `/api/v1/login/auto_login` は、AUTO_LOGIN 設定が有効なとき認証を要求せずに長期有効な superuser 権限の bearer トークンを発行する。そして AUTO_LOGIN は既定で有効である。したがって Langflow をネットワークに露出させているだけで、未認証の攻撃者が管理者相当のトークンを取得できる。さらに CORS 設定が緩いため、取得したトークンが意図しないオリジンに漏れる経路も指摘されている。Langflow は 2026年に入ってから CVE-2026-33017（未認証RCE）、CVE-2026-55255（他ユーザーのフローを実行できる IDOR、CISA KEV 登録済み）と、公開状態のインスタンスを狙う脆弱性が続いており、本件も同じ「そもそも外に出してはいけない」系統の問題である。
根本対処は Langflow を 1.10.0 より新しいバージョンへ更新すること（NVD の影響範囲は 1.0.0 から 1.10.0、公開済みの最新は 2026-07-07 の v1.10.2）。ただしこの製品については、更新以前に配置の見直しが要る。(1) Langflow をインターネットに直接公開しない。VPN・踏み台・アイデンティティ認識型プロキシの背後に置く。(2) `AUTO_LOGIN` を明示的に false にし、`LANGFLOW_SUPERUSER` / `LANGFLOW_SUPERUSER_PASSWORD` を設定して通常の認証を有効にする。(3) CORS の許可オリジンを実際に使うものだけに絞る。(4) すでに公開運用していたなら、発行済みトークンの失効とフロー内に保存された API キー・認証情報のローテーションを行う。Langflow は過去に「修正版とされたバージョンがまだ攻撃可能だった」事例（CVE-2026-33017）もあるため、更新だけを対策とせず露出の遮断を併用する。
IBM Langflow OSS 1.0.0 - 1.10.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-9103）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。