Langflow ― 認証なしでコード実行できる脆弱性を1.13.0で修正

要点

AIエージェントやワークフローを作るオープンソースのツール Langflow（Langflow OSS）の 1.0.0〜1.12.8（IBMのセキュリティ情報）。
修正版は 1.13.0 のみ。1.12系に修正版はない。

何が起きているか

事実（IBM、NVD、Langflow、報道）

Langflowの脆弱性の受付・公表を担うIBMは、2026年10月28日にセキュリティ情報を公開し、29日に更新した。対象は Langflow OSS 1.0.0〜1.12.8 で、IBMは1.13.0への更新を「強く推奨」している。
情報に載ったLangflow本体の脆弱性は4件（このほか依存ライブラリのHonoの脆弱性も含む）。

CVE	IBMの評価（CVSS 3.1）	ログインの要否	内容（IBM）
CVE-2026-93680	9.8	不要	不適切な認証による制限の回避（CWE-287）
CVE-2026-110186	9.8	不要	コード生成の制御不備による任意コード実行（CWE-94）
CVE-2026-110193	8.8	権限の低いアカウントで可	エージェント機能（Agentic Assistant）にOSコマンドを含むコンポーネントのコードを生成・送信させられる（CWE-94）
CVE-2026-110192	6.5	必要	保護が不十分な認証情報の取得（CWE-522）

IBMは概要で、これらに「自動ログインのセキュリティ制御の不完全な修正」と「MCP（Model Context Protocol）のツール列挙を通じて悪用できる、認証なしのリモートコード実行」が含まれると説明している。どのCVEがどれに当たるかの詳細は書かれていない。
NVDには10月29日にCVE-2026-93680とCVE-2026-110186が登録された（NVD）。
公開のMetasploit Framework（攻撃検証ツール）には、CVE-2026-93680を名乗るモジュールがある。報道によると、資格情報なしでLangflowのMCPエンドポイントに接続し、提供されているツールの一覧を取得するもので、コードやコマンドは実行しない。作者が挙げる影響範囲は1.5.0〜1.11.4で、IBMより狭い（The Hacker News）。
同報道によると、このモジュールは自動ログインを有効にしたLangflow 1.8.4で試験された。自動ログインは、ログイン画面なしにスーパーユーザーとして入れる設定で、1.12.8では既定で有効。Langflow 1.13.0では既定で無効になった。
IBMの情報は、自動ログインを無効にしているサーバーが影響を受けるかどうかを明記していない。
2026年11月3日時点で、この4件はCISAのKEVに登録されておらず、悪用の報告も見当たらない。

製品	影響を受ける版	修正版
Langflow OSS（PyPIの `langflow`、Dockerの `langflowai/langflow`）	1.0.0〜1.12.8	1.13.0

1.12.8は1.13.0と同じ10月22日（米国時間）に出たが、脆弱性は残っている（Langflow 1.13.0のリリース）。
IBMは10月29日、別のLangflowの脆弱性29件のCVEも公開し、修正版を1.12.4・1.12.5としている。そのうちCVE-2026-104339も認証なしのコード実行（IBM評価9.8）と報じられている。

修正：1.13.0に更新する（IBM）。
- Pythonパッケージ：pip install --upgrade "langflow==1.13.0"
- Docker：langflowai/langflow:1.13.0 に切り替え、永続データを保ったまま再起動する。
回避策：IBMは「なし（None）」としている。

社内でLangflowが動いていないか確認する。研究・検証用に個人が立てたものやDockerで動かしているものも含める。版は pip show langflow や使っているイメージのタグで確かめる。
1.12.8以前なら、データベース・秘密鍵・アップロードファイルをバックアップしてから1.13.0に更新する。自動ログインを使っていた場合は、Langflowのインストール手順に従ってパスワードでのログインを準備する。ログインできなくなっても、削除や再インストールはしない（フローが消えるおそれがあると公式文書が注意している）。
更新までの間は、Langflowを外部に公開しない。リバースプロキシやファイアウォールで、信頼できる送信元以外からの接続を遮断する。
Langflowに登録しているLLMのAPIキーや外部サービスの認証情報は、外部に公開していた期間があるなら入れ替えを検討する。

AIツールは「鍵束」を持っている: Langflowのようなツールには、LLMのAPIキーや社内システムへの接続情報が登録されていることが多い。認証なしで入られれば、コード実行に加えてそれらの鍵がまとめて持ち出されるおそれがあると考える。
既定の自動ログインが危うさを大きくしていた: 1.12.8まで自動ログインが既定で有効だったため、検証用に立てたまま公開されているサーバーは、そもそもログインの壁がない状態だった可能性がある。1.13.0で既定が無効になったのは、この点を重く見た変更と読める。
悪用は未確認でも早めの更新を: 認証回避の検証モジュールが既に公開されており、Langflowは過去にも脆弱性がKEVに載っている（報道によると6件）。KEV入りを待たずに更新しておくのが無難だと考える。
1.12系の更新では足りない: 修正は1.13.0のみで、1.12.8でも直っていない。「最新の1.12系に上げたから大丈夫」と判断しないよう注意したい。