何が起きたか

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年8月4日、IBM Langflow OSSのコードインジェクション脆弱性CVE-2026-9198を、悪用が確認された脆弱性のカタログ（KEV）に追加した。対応期限は8月7日で、追加から3日後に置かれている。

影響を受けるのはLangflow OSS 1.0.0から1.10.0まで。NVDが登録した構成情報では、1.10.1未満が脆弱な範囲として扱われている。

攻撃は2つのAPIの連鎖で成立する。まず/api/v1/auto_loginが、ネットワーク越しに到達できる任意の呼び出し元へSUPERUSER権限のトークンを発行する。IBMによる記述はこれを「mints SUPERUSER tokens to any network caller」と表現している。続いて/api/v1/validate/codeが、渡されたコードをexec()で実行する。この組み合わせにより、既定構成のLangflowに対して認証を経ずに完全なリモートコード実行が成立する。

深刻度は、CNAであるIBMの評価でCVSS v3.1が9.8。ベクタはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H、脆弱性タイプはCWE-94である。CVSS 4.0はNVDの評価が未提供となっている。

CVEは7月17日にIBMからNVDへ登録され、7月24日にNISTの初期分析が行われた。CISAのSSVC判定は当初「exploitation: none」だったが、8月4日に「active」へ更新されている。automatableは「yes」、technicalImpactは「total」のままである。

KEVが求める措置は、ベンダー指示に沿った緩和の適用と、BOD 26-04（リスクに基づく更新の優先順位付け）およびフォレンジック・トリアージ要件への準拠である。緩和策が得られない場合は製品の利用停止を求めており、各資産のインターネット露出の評価は利用者側の責任と明記されている。

「mints SUPERUSER tokens to any network caller」— NVD（CVE-2026-9198 脆弱性説明）

なぜ重要か

この脆弱性の性質は、SSVCの三要素にそのまま表れている。認証が不要で、自動化が可能で、影響は全面的である。攻撃者から見れば、インターネット全体を対象に特定のパスを叩いて回るだけで侵入口が拾える構図になる。しかも成立条件は既定構成であり、運用側の設定ミスを前提としない。導入したまま触っていない環境ほど危ない。

重要なのは、対象がネットワーク機器やアプリケーションサーバではなく、LLMアプリを組み立てるための開発基盤だという点である。この種のツールは、コンテナやパッケージマネージャで数分で立ち上がる。立ち上げるのは開発者やデータ分析部門であり、調達プロセスも構成管理も経由しないことが多い。結果として、パッチ管理台帳を起点にした確認では捕捉できない。露出の把握が、内部の台帳ではなく外部からの探索に依存する状態になっている。

被害の内訳も従来型インフラとは異なる。Langflowのようなオーケストレーション基盤には、LLMプロバイダのAPIキー、ベクタデータベースの接続情報、社内SaaSのトークンがフロー定義とともに集約されやすい。RCEを取られた時点で、サーバ1台の侵害では済まず、鍵の一括流出と課金の悪用、そこを起点とした横展開が同時に問題になる。

KEVの期限は米国連邦民間機関に課される義務であって、日本企業への直接の強制力はない。ただし、KEV入りは実際の悪用が公的に確認されたという意味を持つ。AI関連のOSSがこのカテゴリに入り始めたこと自体を、トリアージ対象の線引きを見直す合図として読むべきである。

R&Rの視点

支援の現場でよく見るのは、「AI活用推進」の稟議は通っているのに、その成果物を廃棄する稟議が存在しないという構造である。生成AIのPoCは事業部門の予算とクラウドアカウントで立ち上がることが多く、検証終了後もインスタンスが動き続ける。情報システム部門は存在自体を知らない。今回のような脆弱性で最初に問われるのは、パッチ適用の速度ではなく、そもそも自社に何台あるかを答えられるかである。

過小評価のパターンは「社内ネットワークにしか置いていないから大丈夫」という判断である。トークンを発行する条件はネットワーク到達性であり、社内からの到達も同じ扱いになる。外部公開の有無だけで切り分けると読み違える。逆の過剰反応は「Langflowを導入していないから無関係」という結論の出し方で、外部委託先がデモ用に構築した環境や、内部にOSSを取り込んだ派生ツールが抜け落ちる。

経営層への説明は、個別のCVE対応ではなく、AI関連資産をCMDBの管理対象に含める運用コストの話に翻訳したほうが通りやすい。棚卸しの範囲定義と、委託契約におけるPoC環境の廃棄責任の明記。この2点は今期中に予算と契約文言の両方で手当てできる。

実務者が今日やること

  1. 外部公開IPとクラウド上の検証環境に対し、/api/v1/auto_login が応答するホストの有無を8月7日までにスキャンする
  2. Langflow OSSを1.10.0以前で稼働させている環境を特定し、IBMのアドバイザリに従って更新するか停止する
  3. 事業部門の予算で立ち上がったAI関連PoC環境を、クラウド課金明細と部門長への照会の両方から洗い出す
  4. Langflowのフロー定義に保存したLLM APIキーや社内システムの接続情報を、漏えい前提で失効・再発行する
  5. AI開発基盤を資産台帳の管理対象に追加し、認証なしで到達できる公開状態を許さない基準を明文化する

出典

KEVIBM LangflowAIセキュリティシャドーITRCE