IBM Langflow OSS の OS コマンドインジェクションで未認証RCE（CVSS 9.8・1.12.3 で修正）

Critical（CVSS 9.8）に分類されるIBM（Langflow） Langflow OSS 1.0.0〜1.12.2の脆弱性です。AI エージェント・ワークフローを組み立てるオープンソースのツール Langflow（IBM がメンテナンス）に、**OS コマンドに渡す特殊文字を無害化していない欠陥**があり、**リモートの攻撃者が任意のコードを実行できる**。NVD の記述では、対象は Langflow OSS 1.0.0〜1.12.2。 CVSS 3.1 は IBM（CNA）の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、ネットワーク越しに認証も利用者の操作も要らない評価になっている。NVD は 2026年10月7日公開で、vulnStatus は Received（NVD 独自の採点は未付与）。 この CVE は IBM のセキュリティ・ブリテン「Langflow OSS is affected by multiple vulnerabilities」（2026年10月2日公開）にまとめて載っている25件の1つで、同じブリテンには同じく 9.8 の CVE-2026-104334（コード生成の不適切な制御による RCE）のほか、CVSS 8点台のコード実行・パストラバーサル・アクセス制御の欠陥が多数含まれる。いずれも対処は同じ 1.12.3 への更新である。2026年10月7日時点で CISA KEV には収載されておらず、悪用の一次情報も確認できない。ただし Langflow は過去にも未認証 RCE が KEV に収載され実際に悪用されている（このサイトでは CVE-2025-34291・CVE-2026-33017・CVE-2026-9198 を掲載）。

**Langflow OSS を 1.12.3 以上へ更新する。** IBM のブリテンは 1.12.3 への更新を推奨し、回避策は無い（Workarounds and Mitigations: None）としている。PyPI では 1.12.3（2026年9月22日）以降、1.12.4・1.12.5（2026年10月6日）が出ているので、更新するなら最新の 1.12.x にそろえるのが手間が少ない。 **更新までのつなぎ。** 回避策は公表されていないため、更新まではインターネットから Langflow の画面と API に直接届かないようにする（VPN・社内ネットワーク限定、前段のリバースプロキシで認証を必須にする）。これは公式の緩和策ではなく、到達経路を減らすための一般的な措置である。 **影響を受けるかの確認**は `pip show langflow` かコンテナイメージのタグで版を見て、1.12.2 以下なら対象。Langflow は API キーやクラウドの認証情報を環境変数・フロー内に持つことが多く、RCE は資格情報の流出に直結する。公開していた期間がある場合は、プロセスの不審な子プロセス・外向き通信を確認し、Langflow に渡していた API キーを入れ替える。 **完了条件**は、（1）全ての Langflow が 1.12.3 以上であること、（2）外部公開していた環境では認証情報の入れ替えを済ませていること、の2点である。

IBM（Langflow） Langflow OSS 1.0.0〜1.12.2 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-93674）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。