IBM製AIツールLangflowに実害攻撃、CISAが警告
- Langflow(IBM傘下のノーコードAIエージェント構築ツール)にRCE脆弱性CVE-2026-9198が見つかった
- CISAが実際の悪用を確認し、既知悪用脆弱性(KEV)カタログに追加した
- IBMはバージョン1.10.1以降へのアップグレードを推奨している
かんたんに言うと
AIアプリを簡単に作れるIBMのツール「Langflow」に、初期設定のままだと外部から乗っ取られる欠陥が見つかり、実際に攻撃が起きています。使っている企業はすぐに最新版へ更新してください。
AIセキュリティとの関連: AIエージェント構築基盤の脆弱性が実際に悪用されており、AIツールを導入する企業のセキュリティ対応に直結するため。
何が起きたか
米CISA(サイバーセキュリティ・インフラセキュリティ庁)は8月5日、IBM傘下のノーコードAI構築ツール「Langflow」の脆弱性CVE-2026-9198を、既知悪用脆弱性(KEV)カタログに追加した。Langflowはドラッグ&ドロップでAIエージェントやRAG(AIが社内文書などを検索して回答の根拠に使う仕組み)ワークフローを構築できるツールで、IBMのAI開発基盤「watsonx.ai」にも組み込まれている。IBMによると、この脆弱性は初期設定のデプロイに存在する2つの問題を組み合わせたものだ。1つ目は自動ログイン機能が、ネットワーク経由の誰にでも管理者権限トークンを発行してしまう問題。2つ目はコード検証用のエンドポイントが任意のPythonコードを実行してしまう問題。この2つを組み合わせると、未認証の攻撃者がサーバーを完全に乗っ取れる。CVEは7月17日に公開されており、公開から短期間で悪用が確認された。影響範囲はLangflow OSS版1.0.0〜1.10.0で、IBMは1.10.1以降へのアップグレードを推奨している。最新版は1.11.2。
誰に・どう影響するか
大企業では、watsonx.aiなどIBMのAI開発基盤を通じてLangflowを導入しているケースがあり、社内のAI開発環境やAPI連携先の情報が乗っ取りの対象となり得る。中小企業でも、比較的扱いやすいノーコードAIツールとしてLangflowを試験導入している場合があり、初期設定のまま公開ネットワークに置かれたサーバーは特に危険とされる。専門のセキュリティ担当者がいない組織ほど、初期設定の見落としによるリスクが高い点に注意が必要だ。
今すぐやるべきアクション
- Langflowを導入している場合、バージョンを1.10.1以降(推奨は最新の1.11.2)へ直ちにアップグレードする
- 自動ログイン機能やコード検証エンドポイントがネットワーク上に公開されていないか確認する
- デフォルト設定のまま運用しているLangflowサーバーがないか、社内・委託先を含めて棚卸しする
- IBM公式の緩和策ガイダンスを確認し、パッチ適用までの間はアクセス制限などの暫定対応を行う
重大度の判定理由
重大度「緊急」: CISAが実際の悪用を確認済みで、未認証RCEかつ初期設定で攻撃条件が揃うため即対応が必要。