B
今週中
Flowiseにおけるリモートコード実行（RCE）の脆弱性（CVE-2026-40933）のPoCコード
📌 一言でいうと
Flowiseにおけるリモートコード実行（RCE）の脆弱性（CVE-2026-40933）のPoCコードが公開されました。この脆弱性はAnthropicのMCPプロトコルの設計上の問題に起因しており、攻撃者が任意のコマンドを含むMCP stdioサーバーを追加することでコード実行が可能になります。Flowiseバージョン3.1.0未満が影響を受けます。
🔍該当判定
- 自社で「Flowise」というAIアプリ作成ツールをインストールして利用している
- Flowiseのバージョンが 3.1.0 より古い
- Anthropicの「MCP (Model Context Protocol)」を利用してAIエージェントを構築している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Flowiseを最新バージョン（3.1.0以降）にアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Flowise CVE-2026-40933 対応について
お疲れさまです。Flowiseの深刻な脆弱性に関する情報共有です。
■ 概要
Flowiseにおいて、リモートコード実行（RCE）が可能な脆弱性（CVE-2026-40933, CVSS 9.9）が報告され、PoCコードが公開されました。Anthropic MCPアダプターにおけるstdioコマンドの不安全なシリアル化により、攻撃者が任意のコマンドを実行できる可能性があります。
■ 影響範囲
- 対象製品: Flowise
- 対象バージョン: 3.1.0 未満
■ 対応手順
1. 利用中のFlowiseのバージョンを確認してください。
2. 脆弱性が修正されたバージョン 3.1.0 以降へ速やかにアップデートを適用してください。
■ 参考情報
- Obsidian Security / SecurityWeek 記事
対応優先度: 高
対応期限: 速やかに
お疲れさまです。Flowiseの深刻な脆弱性に関する情報共有です。
■ 概要
Flowiseにおいて、リモートコード実行（RCE）が可能な脆弱性（CVE-2026-40933, CVSS 9.9）が報告され、PoCコードが公開されました。Anthropic MCPアダプターにおけるstdioコマンドの不安全なシリアル化により、攻撃者が任意のコマンドを実行できる可能性があります。
■ 影響範囲
- 対象製品: Flowise
- 対象バージョン: 3.1.0 未満
■ 対応手順
1. 利用中のFlowiseのバージョンを確認してください。
2. 脆弱性が修正されたバージョン 3.1.0 以降へ速やかにアップデートを適用してください。
■ 参考情報
- Obsidian Security / SecurityWeek 記事
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Flowise CVE-2026-40933 Remediation
Dear IT/Security Team,
We are sharing critical information regarding a vulnerability in Flowise.
■ Overview
A critical remote code execution (RCE) vulnerability (CVE-2026-40933, CVSS 9.9) has been identified in Flowise, and PoC code is now available. The issue arises from unsafe serialization of stdio commands in the MCP adapter, allowing an attacker to execute arbitrary commands.
■ Scope
- Product: Flowise
- Affected Versions: Prior to version 3.1.0
■ Remediation Steps
1. Verify the current version of Flowise deployed in your environment.
2. Immediately update to version 3.1.0 or later to mitigate this risk.
■ Reference
- Obsidian Security / SecurityWeek
Priority: High
Deadline: Immediate
Dear IT/Security Team,
We are sharing critical information regarding a vulnerability in Flowise.
■ Overview
A critical remote code execution (RCE) vulnerability (CVE-2026-40933, CVSS 9.9) has been identified in Flowise, and PoC code is now available. The issue arises from unsafe serialization of stdio commands in the MCP adapter, allowing an attacker to execute arbitrary commands.
■ Scope
- Product: Flowise
- Affected Versions: Prior to version 3.1.0
■ Remediation Steps
1. Verify the current version of Flowise deployed in your environment.
2. Immediately update to version 3.1.0 or later to mitigate this risk.
■ Reference
- Obsidian Security / SecurityWeek
Priority: High
Deadline: Immediate