AI開発ツールが既定の配備のまま乗っ取られる ― Langflow のコード注入（CVE-2026-9198）
IBM の Langflow に、コード注入の脆弱性が見つかり、CISA の悪用が確認された脆弱性カタログ（KEV）に追加された。既定の配備において、認証を経ていない攻撃者が完全な遠隔コード実行に至れる。
脆弱性の基本情報
- CVE番号CVE-2026-9198
- 対象（ベンダー／製品）IBM Langflow
- CWECWE-94
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-08-07（米連邦民生機関・BOD 22-01）
要点
1「既定の配備で」という言葉の重さ
CISAの説明は、この脆弱性が「既定の Langflow 配備（default Langflow deployments）」で成立すると書いています。設定を誤ったから危険なのではなく、そのまま立ち上げた状態で危険だという意味です。
開発の途中で立てた検証用の環境ほど、既定のまま動かされます。本番の設計に載る前の段階が、そのまま入口になりうるという点で、この型は実務上やっかいです。
2開発の道具が攻撃対象になる
Langflow は、言語モデルを使うアプリケーションを画面上で組み立てるための開発ツールです。開発の道具がKEVに載るということは、攻撃者が本番のサービスだけでなく、その手前の開発環境も狙っていることを示します。開発環境には認証情報や試験用のデータが置かれることが多く、そこを起点に本番へ進む経路が生じます。
3認証を経ずに完全な実行に至る
CISAの説明が「認証を経ていない攻撃者が完全な遠隔コード実行を達成できる」と書いている点は、この脆弱性の深刻さを端的に示します。入口に認証がなく、到達点がコード実行であるため、間に挟まる段階がありません。是正期限が3日に設定されているのも、この直接さが背景にあると読めます。
なぜ重要か
開発や検証のために立てた環境は、資産管理の対象から外れやすく、既定のまま長く放置されがちです。認証情報や試験データが置かれることも多く、そこを起点に本番へ進む経路が生じます。AI開発ツールがKEVに載る事例は、本番のサービスだけでなく開発環境の棚卸しが必要であることを示します。
よくある質問（FAQ）
設定を見直せば防げますか。
Langflow とは何ですか。
なぜ期限が3日と短いのですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。