B
今週中
AIアプリケーション構築プラットフォームのLangflowにおいて、認証済みユーザーがリモートコード実行（RCE）を可能にする深刻な脆弱性（CVE-2026-1…
📌 一言でいうと
AIアプリケーション構築プラットフォームのLangflowにおいて、認証済みユーザーがリモートコード実行（RCE）を可能にする深刻な脆弱性（CVE-2026-105740）が発見されました。攻撃者はMCPサーバーの追加時に検証不十分なコマンドを注入することで、サーバー上で任意のコードを実行できます。すでにハニーポットで1,400回以上の攻撃試行が観測されており、バージョン1.9.0未満が影響を受けます。
🔍該当判定
- 自社で「Langflow」をインストールして利用している
- Langflowのバージョンが 1.9.0 より前の古いバージョンである
- Langflowにおいて、ユーザーがMCPサーバー（stdioトランスポート）を追加できる設定になっている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
影響を受けるバージョンを利用している場合は、直ちに最新バージョン（1.9.0以降）へアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Langflow RCE脆弱性 (CVE-2026-105740) 対応について
お疲れさまです。Langflowに関する深刻な脆弱性の情報共有です。
■ 概要
Langflowにおいて、認証済みユーザーが任意のコマンドを実行できるRCE脆弱性が報告されました（CVSS 9.9）。MCPサーバー設定時のコマンドフィールドにバリデーションがないため、bash経由で直接コマンドが実行される仕組みです。すでに野生での攻撃が観測されています。
■ 影響範囲
- 対象製品: Langflow
- 対象バージョン: 1.9.0 未満
■ 対応手順
1. 自社環境でLangflowを利用しているか確認してください。
2. 利用している場合は、速やかにバージョン 1.9.0 以降へアップデートを適用してください。
■ 参考情報
- CVE-2026-105740
対応優先度: 高
対応期限: 至急
お疲れさまです。Langflowに関する深刻な脆弱性の情報共有です。
■ 概要
Langflowにおいて、認証済みユーザーが任意のコマンドを実行できるRCE脆弱性が報告されました（CVSS 9.9）。MCPサーバー設定時のコマンドフィールドにバリデーションがないため、bash経由で直接コマンドが実行される仕組みです。すでに野生での攻撃が観測されています。
■ 影響範囲
- 対象製品: Langflow
- 対象バージョン: 1.9.0 未満
■ 対応手順
1. 自社環境でLangflowを利用しているか確認してください。
2. 利用している場合は、速やかにバージョン 1.9.0 以降へアップデートを適用してください。
■ 参考情報
- CVE-2026-105740
対応優先度: 高
対応期限: 至急
Subject: [Security Advisory] Langflow RCE Vulnerability (CVE-2026-105740)
Dear Team,
We are sharing information regarding a critical vulnerability in Langflow.
■ Overview
An authenticated Remote Code Execution (RCE) vulnerability (CVE-2026-105740, CVSS 9.9) has been discovered in Langflow. The flaw allows authenticated users to execute arbitrary commands via the MCP server configuration due to a lack of input validation. Active exploitation has been observed in the wild.
■ Scope
- Product: Langflow
- Affected Versions: Prior to 1.9.0
■ Mitigation Steps
1. Identify if Langflow is deployed within our environment.
2. Immediately update Langflow to version 1.9.0 or later.
■ Reference
- CVE-2026-105740
Priority: High
Deadline: Immediate
Dear Team,
We are sharing information regarding a critical vulnerability in Langflow.
■ Overview
An authenticated Remote Code Execution (RCE) vulnerability (CVE-2026-105740, CVSS 9.9) has been discovered in Langflow. The flaw allows authenticated users to execute arbitrary commands via the MCP server configuration due to a lack of input validation. Active exploitation has been observed in the wild.
■ Scope
- Product: Langflow
- Affected Versions: Prior to 1.9.0
■ Mitigation Steps
1. Identify if Langflow is deployed within our environment.
2. Immediately update Langflow to version 1.9.0 or later.
■ Reference
- CVE-2026-105740
Priority: High
Deadline: Immediate