概要
AIエージェント・アプリケーション構築フレームワークLangflowに存在する未認証リモートコード実行(RCE)の脆弱性CVE-2026-0768(CVSSスコア9.8)が、実際の攻撃キャンペーンで悪用されていることが明らかになった。セキュリティ企業VulnCheckのハニーポットでは週末だけで50件超、月曜までに360件超の攻撃を観測しており、大半はロシアを発信源とする偵察活動および認証情報窃取を目的としたものだという。攻撃者はOpenAIやAWSのAPIキーなど、AIアプリケーションが保持する機微な認証情報を狙っている。
技術的な詳細
脆弱性はLangflowのカスタムコンポーネントエディタに搭載されたコードバリデータに存在する。NVDの記述によれば、「ユーザー入力の文字列がPythonコードの実行に使われる前に適切な検証が行われていないこと」が原因で、認証を経ずに任意のPythonコードをroot権限で実行できてしまう。影響を受けるのはバージョン1.4.2以前の全リリースで、修正済みバージョンである1.11.6へのアップグレードが推奨されている。
VulnCheckの研究者Caitlin Condon氏によれば、攻撃者は環境変数を照会してLANGFLOW_SUPERUSERの認証情報、OPENAI_API系のキー、AWS_ACCESS・AWS_SECRET系の認証情報を探索するほか、/root/.cache/langflow/secret_keyの読み取りやSSHアクセス、bashの履歴サイズの確認まで行っているという。単なるスキャンにとどまらず、システムへの侵入を前提とした偵察行動とみられる。
悪用の背景と広がる標的化
この脆弱性は2025年7月にZero Day Initiative(ZDI)経由で報告され、2026年1月にゼロデイとして公表された。SecurityWeekの報道では、2026年に入ってから既知の悪用が確認されたLangflowの脆弱性のうち3件だけで累計1万5000件超の攻撃が成功しているとされ、2025年以前は野生での悪用が確認された脆弱性が1件のみだったのに対し、2026年だけで新たに11件の脆弱性が悪用対象として報告されるなど、攻撃者の関心が急速に高まっている。BleepingComputerも、CVE-2026-0768が2026年に入ってから悪用が確認された6件目のLangflow脆弱性であるとし、CVE-2026-33017、CVE-2026-5027、CVE-2026-55255、CVE-2026-0770、CVE-2026-9198に続くものだと指摘している。
影響と今後の見通し
LangflowはAIエージェントやRAGシステムをグラフィカルなワークフローで構築できるオープンソースのPythonベース低コードプラットフォームであり、AIアプリケーション開発の現場で急速に採用が進んでいる。今回の攻撃は、こうした低コードAI基盤が本番環境やクラウド連携の中枢に組み込まれるにつれ、そこに保存される外部サービスのAPIキーやクラウド認証情報が新たな攻撃対象になっていることを示す。未パッチのLangflowインスタンスを運用する組織は、直ちにバージョン1.11.6以降へアップグレードするとともに、環境変数やシークレットファイルに保存された認証情報のローテーションを検討すべきだろう。