IBM Langflow ToolGuard 経由のコード実行（allow_custom_components=false を迂回）

Critical（CVSS 9.9）に分類されるIBM Langflow OSS 1.0.0 〜 1.10.0（Langflow 1.9.2 以前）の脆弱性です。Langflow の Policies コンポーネントの ToolGuard 連携に、カスタムコンポーネント禁止設定（allow_custom_components=false）を迂回するコードインジェクションがある。検証処理が node_template["code"]["value"] のメインソースしか見ておらず、生成された ToolGuard の Python ファイルを保持する動的な CodeInput フィールドを検証しない。攻撃者はこの未検証フィールドに悪意あるPythonを埋め込め、その内容は Flow.data に永続化され、ガード対象ツールが ToolGuard ランタイム経由で呼ばれた時点でサーバ側で実行される。結果として、フロー作成権限を持つ認証済みユーザーが、カスタムコンポーネント制限をかけているにもかかわらずバックエンドで任意のPythonを実行できる。さらに agentic MCP の update_flow_component_field ツールが攻撃者制御の user_id を受け付けるため、他テナントのユーザーのフローへコードを注入する横断攻撃に発展しうる。公開フローと AUTO_LOGIN=true・NEW_USER_IS_ACTIVE=true の設定が重なると、必要な認証条件はさらに下がる。CVSSはスコープ変更あり（S:C）の9.9。

IBM のアドバイザリに従い Langflow を修正版へ更新する。更新までの間は、AUTO_LOGIN と NEW_USER_IS_ACTIVE を無効化し、フローの公開範囲を絞り、フロー作成権限を信頼できる利用者に限定する。agentic MCP の update_flow_component_field を含むMCPエンドポイントの外部到達性を遮断する。Langflow をインターネットに直接公開せず、認証プロキシの背後に置く。同時期に公表された Langflow の権限昇格・自動ログイン系の問題（CVE-2026-9103 / CVE-2026-8635）と連鎖しうるため、併せて確認すること。

IBM Langflow OSS 1.0.0 〜 1.10.0（Langflow 1.9.2 以前） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-9135）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。