--- title: "Langflow OSS で認証済みユーザーによる OS コマンド実行が2件（CVE-2026-107326・110309、IBM 評価 CVSS 8.8）: 1.0.0〜1.12.4 が対象、1.12.5 で修正" url: https://n-t-p.io/worldsecurity/articles/langflow-oss-os-command-injection-code-generation-authenticated-1-0-0-to-1-12-4-cve-2026-107326-110309 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-107326, CVE-2026-110309 --- # Langflow OSS で認証済みユーザーによる OS コマンド実行が2件（CVE-2026-107326・110309、IBM 評価 CVSS 8.8）: 1.0.0〜1.12.4 が対象、1.12.5 で修正 > **TL;DR:** Langflow OSS 1.0.0〜1.12.4 で、ログインできる相手が OS 上でコマンドやコードを実行できる脆弱性が 2 件（CVE-2026-107326 OS コマンドインジェクション、110309 コード生成の制御不備）。IBM 評価 CVSS 8.8。1.12.5 で修正。EPSS 約 0.6〜0.7%、KEV なし。 **要点** - 2 件とも認証済みの攻撃者が任意のコードやコマンドを実行できる。OS コマンドインジェクション（CWE-78）とコード注入（CWE-94）で、攻撃経路は公開情報では未確認 - 対象は Langflow OSS 1.0.0〜1.12.4。1.12.5 で修正 - NVD は Analyzed。IBM 評価 CVSS v3.1 8.8。要ログインで、ネットワーク越しに成立し画面操作は不要 - EPSS 約 0.6〜0.7%（11/1）、KEV なし。CISA の SSVC は悪用なし。公開済みの概念実証は未確認 - 更新が根本対策。MCP stdio 利用時は LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING と LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY も設定（IBM）。アカウントの絞り込みとキー再発行は推定 Langflow OSS（オープンソースのローコード AI ワークフロー基盤）について、IBM が 2026-10-19 公開のセキュリティ情報で開示した脆弱性のうち、CVE-2026-107326 と CVE-2026-110309 の 2 件を取り上げます。NVD には 10/29 に登録され、どちらも Analyzed です。対象は 1.0.0 から 1.12.4 で、ログインできる相手が OS 上でコマンドやコードを実行できる内容です。修正版は 1.12.5 です。同じ情報の CVE-2026-107327〜107329 は別記事で扱っています。 ## 何が起きるか - CVE-2026-107326: OS コマンドに使う特殊文字の無害化が不十分（CWE-78）。NVD の説明は「リモートの認証済み攻撃者が任意のコードを実行できる」です。 - CVE-2026-110309: コード生成の制御が不十分（CWE-94）。NVD の説明は「リモートの認証済み攻撃者が任意のコマンドを実行できる」です。 - 条件は、有効なアカウントでログインできることです。ネットワーク越しに成立し、画面操作は要りません。 - 2 件とも、どの API・機能のどの入力が原因かは、公開情報では確認できていません。 - Langflow は他のサービスの API キーやモデルの認証情報を保持することが多く、サーバー上で命令が動くと、それらの持ち出しや内部ネットワークへの踏み台化につながり得ます（一般的な影響の推定）。 ## 評価の状況 - 2 件とも IBM の評価は CVSS v3.1 で 8.8（AV:N／AC:L／PR:L／UI:N／S:U／C:H／I:H／A:H）です。NVD 自身の別評価はまだありません。取得日は 11/2 です。 - EPSS は 107326 が 0.0070（約 0.7%、パーセンタイル 53.3）、110309 が 0.0058（約 0.6%、パーセンタイル 47.5）で、いずれも 11/1 付です。 - CISA の KEV カタログには載っていません（11/2 取得）。CISA 調整役の SSVC 評価は、2 件とも悪用なし（none）、自動化不可（no）、技術的影響は全面的（total）でした。 ## 修正の状況 - NVD の影響範囲は 1.0.0 以上 1.12.5 未満で、修正版は 1.12.5 です。IBM の情報も 1.12.5 への更新を勧めています。 - MCP の stdio を使う構成には、更新に加えて設定の制限も案内されています。LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true でシェルスクリプトの直接実行を拒否し、LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true で管理者以外の MCP stdio 利用を止めます。設定後は再起動が必要です（IBM）。 ## 対応として考えられること 1. 自組織の Langflow OSS の版を確認し、1.0.0〜1.12.4 なら 1.12.5 以降へ更新します。更新前にバックアップを取り、フローの動作を試します。 2. MCP stdio を使っている場合は、上記 2 つの環境変数を設定して再起動します。 3. すぐに更新できない場合は、ログインできるアカウントを最小限にし、管理画面と API を信頼できるネットワークに限ります（推定）。 4. 保存されている API キーや認証情報は、不審な実行の兆候があれば再発行します。実行記録で、見慣れないフロー作成やコンポーネント実行がないかを確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。KEV には未掲載です。 - 公開済みの概念実証コードの有無は確認していません。 - 各 CVE の具体的な攻撃経路は、公開情報では確認できていません。 - 該当インスタンスの数や、1.0.0 より前の版が影響を受けるかは確認していません。 ## 出典 - [NVD CVE-2026-107326](https://nvd.nist.gov/vuln/detail/CVE-2026-107326) — NIST NVD - [NVD CVE-2026-110309](https://nvd.nist.gov/vuln/detail/CVE-2026-110309) — NIST NVD - [IBM セキュリティ情報（Langflow OSS の複数の脆弱性）](https://www.ibm.com/support/pages/node/7293016) — IBM - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-107326,CVE-2026-110309) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/langflow-oss-os-command-injection-code-generation-authenticated-1-0-0-to-1-12-4-cve-2026-107326-110309