目次（5）
CVE-2026-110245
IBM は 10/19 公開のセキュリティ情報（node 7293016）で、Langflow OSS の複数の脆弱性をまとめて案内しています。そのうち CVE-2026-110245 は、「認証の不備により、リモートの攻撃者が機密情報を取得できる」問題です。NVD には 10/29 に登録されました。CNA の IBM の説明は 1 文だけで、どの機能の認証が不十分なのか、どんな情報が取れるのかは書かれていません。 CVSS v3.1 は 7.5（High）で、この値を付けたのは IBM です。NVD の状態は「Analyzed」ですが、API で確認できる CVSS は IBM の値だけで、NVD 自身の独自の評価は見当たりません。
何が起きるか
- 弱点の分類は CWE-287（不適切な認証）です。
- ベクトルは AV:N/AC:L/PR:N/UI:N で、ネットワークから、特別な条件なしに、アカウントなしで試せる評価です。影響は機密性だけが高（C:H）で、完全性・可用性への影響はなし（I:N/A:N）とされています。
- 同じセキュリティ情報の他の脆弱性（認証済みの利用者が対象のもの）と違い、本件は認証が不要とされています。インターネットに公開している Langflow が特に注意の対象になると考えられます（本記事の推定）。
- 取得される「機密情報」の中身は説明にありません。Langflow はフロー、保存した接続情報、API キーなどを扱うため、構成によっては重要な情報が含まれうると考えられますが、本件で実際に何が取れるかは未確認です。
- 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。
影響を受ける条件と評価
| 項目 | 内容 |
|---|---|
| 対象 | CNA の記載は「IBM Langflow OSS 1.0.0 から 1.12.4」。NVD の構成情報は「1.0.0 以上 1.12.5 未満」 |
| 前提 | 対象のインスタンスにネットワークから到達できること。認証は不要とされている |
| CVSS | v3.1 は 7.5（High、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）。付与したのは IBM。NVD 自身の独自評価は確認できない |
| 状態 | NVD の状態は「Analyzed」 |
| EPSS | 0.37%（パーセンタイル 30.4%、10/31 時点、FIRST） |
| 修正 | NVD の構成情報が 1.12.5 未満を対象とし、IBM のセキュリティ情報も 1.12.5 への更新を案内している。1.12.5 は PyPI で 10/6 の公開 |
版の整理
- 確認時点の PyPI では、langflow の 1.12.4 は 9/29、1.12.5 は 10/6、1.12.6 は 10/13、1.13.0 は 10/22 の公開です。
- 1.12.5 以降なら本件の対象外と読めます（NVD の構成情報に基づく。修正の中身は未確認）。
- 同じ IBM の案内に含まれる別の CVE（CVE-2026-107366、CVE-2026-18894 など）は別の記事で扱っています。更新先は共通して 1.12.5 以降です。
対応として考えられること（本記事の推定）
- Langflow の版を確認します。1.12.5 より前なら、バックアップを取り、1.12.5 以降へ更新して、フローの動作を確かめます。
- 更新までの間、インターネットへの直接の公開を避け、リバースプロキシでの認証や IP 制限など、前段での制限を検討します。
- 公開していたインスタンスで、認証なしのリクエストが不自然に成功していないか、アクセスログがあれば確認します。心配な場合は、保存してある API キーや接続情報の入れ替えも検討します（ログの形式や保存内容は構成によります）。
未確認の点
- 悪用の報告は確認できていません。KEV にも載っていません。
- 認証が不足している具体的な機能、取得される情報の種類、攻撃の手順は、IBM の説明に書かれておらず確認できていません。修正の中身も未確認です。
- 本記事の severity 欄は、認証不要で機密性への影響が高いとされる点から high にしました。CVSS 7.5 は IBM の値で、NVD 自身の独自評価は確認できません。詳細が非公開のため、実際の影響は構成によって大きく変わりうると考えられます。
- 当サイトでは、挙動を再現していません。ソースコードの確認も行っておらず、記載は IBM のセキュリティ情報と NVD の記載に基づきます。
- 日付は、IBM のセキュリティ情報の公開日（2026-10-19）と NVD の登録（2026-10-29 16:17 UTC）に基づきます。
この記事について
- 執筆・編集
- World Security 編集部
