---
title: "Langflow が認証なしで管理者トークンを発行し、コード実行まで連鎖できる欠陥（CVE-2026-9198）: CVSS 9.8、CISA KEV に追加済み、1.10.1 で修正"
url: https://n-t-p.io/worldsecurity/articles/langflow-cve-2026-9198-kev-auto-login-validate-code-unauth-rce
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-9198
---

# Langflow が認証なしで管理者トークンを発行し、コード実行まで連鎖できる欠陥（CVE-2026-9198）: CVSS 9.8、CISA KEV に追加済み、1.10.1 で修正

> **TL;DR:** AI ワークフロー基盤 Langflow で、/api/v1/auto_login が管理者トークンを認証なしで発行し、/api/v1/validate/code の exec() と連鎖して完全な RCE になる欠陥（CVE-2026-9198、CVSS 9.8、EPSS 0.287）。CISA KEV に 2026-08-04 追加済み。1.10.1 へ更新し、更新できない間は到達を遮断する。

**要点**
- 自動ログインの経路が管理者トークンを任意のネットワーク呼び出し元に発行し、コード検証用エンドポイントの exec() と連鎖して認証なしの RCE になる（CVE-2026-9198、CWE-94、NVD CVSS v3.1 9.8）
- 既定の構成で成立するとされ、Langflow に保存された API キー・認証情報・接続先サービスへ被害が広がる恐れがある
- CISA KEV に 2026-08-04 追加（期限 08-07、悪用あり・自動化可能）。EPSS 0.287。対象は 1.0.0 以上 1.10.1 未満、修正版は 1.10.1
- 更新、到達の遮断、自動ログインの見直し、侵害の確認と鍵の入れ替えが必要。悪用の規模と攻撃者は未確認

AI エージェントやワークフローを画面上で組み立てられる OSS の Langflow に、認証なしで完全なリモートコード実行（RCE）に至る欠陥（CVE-2026-9198）が報告されています。ネットワークから届く誰にでも管理者（SUPERUSER）のトークンを発行する `/api/v1/auto_login` と、受け取ったコードを `exec()` で実行する `/api/v1/validate/code` を連鎖させると、既定の構成のまま、ログインなしでサーバー上でコードを動かせます。NVD の CVSS v3.1 は 9.8、悪用予測（EPSS）は 0.287 です。CISA の KEV（悪用が確認された脆弱性）カタログには 2026-08-04 に追加されています。対象は Langflow 1.0.0 以上 1.10.1 未満で、修正版は 1.10.1 です（NVD の構成情報より）。

## 概要

| 項目 | 内容 |
|---|---|
| 問題 | 自動ログイン用の `/api/v1/auto_login` が任意のネットワーク呼び出し元に管理者トークンを発行し、そのトークンで `/api/v1/validate/code` を呼ぶとユーザー指定のコードが `exec()` で実行される（CWE-94） |
| 攻撃条件 | ネットワークから到達できれば認証不要・操作不要（AV:N/AC:L/PR:N/UI:N）。既定の構成で成立すると記載されている |
| 影響 | サーバー上での任意コード実行。機密性・完全性・可用性のすべてに高い影響 |
| CVSS v3.1 | 9.8（IBM PSIRT による評価。NVD の状態は Analyzed） |
| EPSS | 0.287（パーセンタイル 0.981、FIRST、2026-11-03） |
| CISA KEV | 2026-08-04 追加。期限 2026-08-07。ランサムウェアでの利用は「不明」 |
| CISA SSVC | 悪用あり・自動化可能・技術的影響は全面的 |
| 対象 | Langflow 1.0.0 以上 1.10.1 未満（IBM の記載は 1.0.0〜1.10.0） |
| 修正版 | 1.10.1 |

仕組みは 2 段階です。まず、Langflow は手軽に試せるよう「自動ログイン」の経路を持ち、設定によっては認証情報なしで管理者のアクセストークンを返します。この経路が、既定の構成のままネットワークに公開された状態で、誰からの要求にも管理者トークンを発行してしまいます。次に、コードの検証用エンドポイントが、渡された Python コードを検証のために実際に実行します。管理者トークンがあれば、このエンドポイントを呼べるため、攻撃者は送り込んだコードをそのまま Langflow のプロセス権限で動かせます。

## なぜ重要か

Langflow は LLM を使ったアプリの試作や社内ツールで使われ、データベース、API キー、クラウドの認証情報、社内システムへのコネクタを設定として保持することが多いソフトです。RCE を取られると、これらの秘密情報とその先のサービスに被害が広がります。

認証なし・CVSS 9.8 で、KEV に載り、CISA は悪用あり・自動化可能としています。EPSS は 0.287（上位 2% 弱）で、実際に狙われる可能性は高い部類です。インターネットや社外のネットワークから Langflow に届く構成は、最優先で更新と点検が必要です。Langflow は ID・認証まわりの欠陥が複数報告されており、本サイトの過去記事もあわせて参照してください。

## 対策

- Langflow を 1.10.1 以上に更新する（`pip show langflow` やコンテナのタグで版を確認できる）。
- 更新できない間は、Langflow をインターネットや信頼できないネットワークに公開しない。リバースプロキシや IP 制限で `/api/v1/auto_login` と `/api/v1/validate/code` への到達を遮断する。
- 自動ログインの設定（`LANGFLOW_AUTO_LOGIN` など）を見直し、無効にする。設定名と推奨値は IBM の案内で確認する。
- KEV の期限（2026-08-07）はすでに過ぎている。更新前に公開していた環境は、侵害済みの可能性を前提に、アクセスログ上の上記エンドポイントへの未知の呼び出し、不審なプロセス、新しい管理者ユーザー、保存された API キーの不正利用を調べ、API キーと認証情報を入れ替える。

## 数値と出典（2026-11-04 時点）

| 項目 | 内容 |
|---|---|
| NVD | Analyzed。CVSS v3.1 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、評価元は IBM PSIRT。弱点の種類は CWE-94 |
| EPSS | 0.287、パーセンタイル 0.981（FIRST、2026-11-03） |
| KEV | 2026-08-04 追加。期限 2026-08-07。ランサムウェア利用は不明 |
| 出典 | NVD、CISA KEV、FIRST、IBM サポート情報（node/7278927） |

## 未確認の点

- 悪用の規模、攻撃者、狙われた具体的な環境。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。
- IBM の案内に記載された回避策の正確な内容（自動ログインの設定名、1.10.1 の変更点）。公式ページの本文は今回確認できていない。
- NVD の構成情報（1.10.1 未満）と IBM の記載（1.10.0 まで）の対象範囲の差が、版の数え方の違いだけか。
- 自動ログインを無効にした構成での影響範囲。
- ランサムウェアでの利用の有無（CISA は「不明」）。


## 出典
- [NVD CVE-2026-9198](https://nvd.nist.gov/vuln/detail/CVE-2026-9198) — NIST NVD
- [IBM サポート情報 7278927](https://www.ibm.com/support/pages/node/7278927) — IBM
- [CISA KEV カタログ CVE-2026-9198](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-9198) — CISA
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-9198) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/langflow-cve-2026-9198-kev-auto-login-validate-code-unauth-rce