Langflow OSS で認証済みユーザーによる OS コマンド実行が2件（CVE-2026-107326・110309、IBM 評価 CVSS 8.8）: 1.0.0〜1.12.4 が対象、1.12.5 で修正

Langflow OSS（オープンソースのローコード AI ワークフロー基盤）について、IBM が 2026-10-19 公開のセキュリティ情報で開示した脆弱性のうち、CVE-2026-107326 と CVE-2026-110309 の 2 件を取り上げます。NVD には 10/29 に登録され、どちらも Analyzed です。対象は 1.0.0 から 1.12.4 で、ログインできる相手が OS 上でコマンドやコードを実行できる内容です。修正版は 1.12.5 です。同じ情報の CVE-2026-107327〜107329 は別記事で扱っています。

何が起きるか

• CVE-2026-107326: OS コマンドに使う特殊文字の無害化が不十分（CWE-78）。NVD の説明は「リモートの認証済み攻撃者が任意のコードを実行できる」です。
• CVE-2026-110309: コード生成の制御が不十分（CWE-94）。NVD の説明は「リモートの認証済み攻撃者が任意のコマンドを実行できる」です。
• 条件は、有効なアカウントでログインできることです。ネットワーク越しに成立し、画面操作は要りません。
• 2 件とも、どの API・機能のどの入力が原因かは、公開情報では確認できていません。
• Langflow は他のサービスの API キーやモデルの認証情報を保持することが多く、サーバー上で命令が動くと、それらの持ち出しや内部ネットワークへの踏み台化につながり得ます（一般的な影響の推定）。

評価の状況

• 2 件とも IBM の評価は CVSS v3.1 で 8.8（AV:N／AC:L／PR:L／UI:N／S:U／C:H／I:H／A:H）です。NVD 自身の別評価はまだありません。取得日は 11/2 です。
• EPSS は 107326 が 0.0070（約 0.7%、パーセンタイル 53.3）、110309 が 0.0058（約 0.6%、パーセンタイル 47.5）で、いずれも 11/1 付です。
• CISA の KEV カタログには載っていません（11/2 取得）。CISA 調整役の SSVC 評価は、2 件とも悪用なし（none）、自動化不可（no）、技術的影響は全面的（total）でした。

修正の状況

• NVD の影響範囲は 1.0.0 以上 1.12.5 未満で、修正版は 1.12.5 です。IBM の情報も 1.12.5 への更新を勧めています。
• MCP の stdio を使う構成には、更新に加えて設定の制限も案内されています。LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true でシェルスクリプトの直接実行を拒否し、LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true で管理者以外の MCP stdio 利用を止めます。設定後は再起動が必要です（IBM）。

対応として考えられること

1. 自組織の Langflow OSS の版を確認し、1.0.0〜1.12.4 なら 1.12.5 以降へ更新します。更新前にバックアップを取り、フローの動作を試します。
2. MCP stdio を使っている場合は、上記 2 つの環境変数を設定して再起動します。
3. すぐに更新できない場合は、ログインできるアカウントを最小限にし、管理画面と API を信頼できるネットワークに限ります（推定）。
4. 保存されている API キーや認証情報は、不審な実行の兆候があれば再発行します。実行記録で、見慣れないフロー作成やコンポーネント実行がないかを確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。KEV には未掲載です。
• 公開済みの概念実証コードの有無は確認していません。
• 各 CVE の具体的な攻撃経路は、公開情報では確認できていません。
• 該当インスタンスの数や、1.0.0 より前の版が影響を受けるかは確認していません。