CVE-2026-0770 — Langflow の未認証リモートコード実行（解説と対応策）

CVE-2026-0770は、AIエージェント構築ツール Langflow の validate（コード検証）エンドポイントに存在する未認証のリモートコード実行（RCE）脆弱性です。exec_globals 経由で信頼できないコードが実行され、認証なしで任意コード実行に至ります。CVSSは9.8・実際に悪用中（CISA KEV掲載）。掲載時点で調整元は修正版を明示しておらず、主対策は『インターネット露出の遮断＋認証＋最新版更新』。攻撃手順を伏せて防御目線で解説します。

公開日 2026-07-23 最終確認 2026-07-23 8分で読める

実際に悪用が確認されている脆弱性（CISA KEV掲載）の速報解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順や実証コード（PoC）は伏せて防御目線でまとめます。

速報サマリー — ADVISORY

CVE: CVE-2026-0770（信頼できない制御領域からの機能挿入・CWE-829）
重大度: Critical（CVSS 9.8）・実際に悪用中（CISA KEV）
種別: validate（コード検証）エンドポイントの未認証リモートコード実行（RCE）
影響: 認証なしでの任意コード実行（多くの構成でroot）・認証情報/クラウドメタデータ窃取・横展開
対象: Langflow 1.7.3 以前
本命の対応: 公開停止（ネットワーク隔離＋認証）＋最新版へ更新

9.8

CVSS / 最悪クラス

認証なし

到達条件

RCE→root

到達できる影響

露出遮断

本命の封鎖

結論から

Langflow を使っているなら、いますぐインターネットから切り離す。 ネットワーク隔離＋認証必須が本命の封鎖です。Langflow は設計上コードを実行するツールで、未信頼ネットワークへの公開そのものが根本リスクです。
原因は、コード検証（validate）エンドポイントで exec_globals 経由の信頼できない入力が exec() でそのまま実行されること（CVE-2026-0770・CWE-829）。認証なしで任意コード実行（RCEとは）に至り、多くの構成でroot権限で動きます。
掲載時点で修正版は明示されていません。 ZDI（ZDI-26-036）・GitHub Advisory・NVD はいずれも修正バージョンを示さず、ZDIの推奨は「製品への到達を制限」。単発パッチ依存は危険で、Langflow は過去にも同系統のvalidate系RCEが再発しています（下記）。

放置の危険度

認証不要でroot相当のコード実行に至り得るため、公開されている Langflow は無差別スキャンで一斉に狙われます。報道・脅威情報によれば、2026-06-27 ごろから実際の悪用が観測され、CISA が KEV に登録する前の時点で 64個の送信元IPから220件超の悪用試行が記録されたとされます。観測された挙動には、コマンド実行の確認・システム偵察・追加スクリプトの取得・認証情報やクラウドメタデータへのアクセス試行が含まれます。インターネットに露出していたなら「侵害された前提」で扱ってください。

影響範囲

項目	内容
対象	Langflow（AIエージェント/フローのビジュアル構築ツール）
影響を受けるバージョン	1.7.3 以前（NVD/ZDI/GitHub Advisory の対象範囲）
修正バージョン	掲載時点で調整元は明示せず（ZDI推奨＝製品への到達を制限）。最新版へ更新しつつ、隔離＋認証を主対策とする
前提条件	認証不要（unauthenticated）
到達できる影響	任意コード実行（RCE）→ サーバー乗っ取り・認証情報/メタデータ窃取・横展開
状況	実際に悪用中（CISA KEV）

深刻度の評価差について（両論・確認）

本脆弱性の深刻度は資料でわずかに分かれます。NVD と ZDI（ZDI-26-036）は CVSS 3.x で 9.8、GitHub Advisory は CVSS 4.0 で 8.9 と評価しています。バージョン体系の違いによる差であり、いずれも「認証不要・低複雑度・任意コード実行」という最悪クラスである点は一致します。評価の細部に関わらず、対応は「公開停止＋更新」の一択です。

再発している脆弱性であること（重要）

Langflow の validate／コード実行系エンドポイントでは、過去にも未認証RCE（CVE-2025-3248）が KEV 入りしており、別の Langflow の脆弱性では「修正版とされたバージョンでも依然として悪用可能」と報告された経緯があります。「更新したから安全」と考えず、更新は行いつつも、ネットワーク隔離・認証・最小権限を恒久の主対策に据えてください。

対応策

インターネット露出を止める（最優先・本命）

Langflow を公開ネットワークから切り離す。リバースプロキシ＋認証、IP許可リスト、VPN/内部ネット限定などで未認証の到達をゼロにする。Langflow は設計上コードを実行するツールであり、公開そのものが根本リスク。これがRCEを実際に封鎖する本命。

最新版へ更新（ただしパッチ単独に依存しない）

公開されている最新版へ更新する。ただし掲載時点で調整元は修正版を明示しておらず、過去に「修正版でも悪用可能」と報告された経緯があるため、更新は隔離＋認証と併用する。ベンダーのリリースノート／セキュリティ告知で最新状況を必ず確認する。

侵害の有無を確認（露出していた前提で）

不審なプロセス・cron・アウトバウンド通信、想定外のファイル書き込み、認証情報やクラウドメタデータ（インスタンスのIAMトークン等）へのアクセス痕跡、validate エンドポイントへの未認証アクセスを点検する。RCEは「サーバー上の秘密（鍵・トークン・DB接続情報）が漏れた前提」で扱い、露出していたなら認証情報をローテーションする。

最小権限で動かす・攻撃面を減らす

Langflow をroot以外で実行し、到達できるクラウド権限（インスタンスロール等）を最小化する。不要ならメタデータエンドポイントへの到達を絞る。「侵入されても被害を最小化」する多層防御。

CVEの機械監視と迅速更新

Langflow を含む自ホスト製品のバージョンとCVEを機械監視し、公表されたら速やかに更新・封鎖する運用にする。「公表済みの既知CVEを人手で見落として放置」を構造的に防ぐ。

当サイトの視点：コードを実行するツールは『公開しない』が既定

この脆弱性の芯は、個別のバグというより「設計上コードを実行するツールを、未信頼ネットワークに露出した」ことにあります。AIエージェントの構築ツールやローコード基盤は、便利さと引き換えに任意コード実行を前提に持つものが多く、しかも社内検証用がいつの間にか公開されがちです。単発の更新は必須ですが、恒久的に効くのは「開発・検証用のコード実行ツールはインターネットに出さない」既定と、自ホスト製品のCVEを機械監視して素早く封鎖する運用です。AI時代のセキュリティ・チェックリストも参照してください。

次に読む

用語：RCE（リモートコード実行）とは／ CVE とは／ SSRF とは
実務：脆弱性(CVE)対応の実務（機械監視と迅速な封鎖）／組織のセキュリティ基盤（露出削減・最小権限）
速報一覧：脆弱性速報

よくある質問

QCVE-2026-0770 で何が起きる？

AIエージェント構築ツール Langflow のコード検証（validate）エンドポイントで、exec_globals パラメータ経由の信頼できない入力が exec() でそのまま実行されます。これにより認証なしの攻撃者が任意のコードを実行でき（多くの構成でroot権限）、サーバー乗っ取り・認証情報やクラウドメタデータの窃取・他システムへの横展開に直結します。CVSSは9.8、実際に悪用が確認されています（CISA KEV掲載）。

Q一番確実な対応は？

Langflow をインターネットから切り離すこと（ネットワーク隔離＋認証必須）が最優先の本命です。Langflow は設計上コードを実行するツールであり、未信頼ネットワークに公開すること自体が根本リスクです。あわせて最新版へ更新しますが、掲載時点でZDI・GitHub Advisory・NVDは修正バージョンを明示しておらず（ZDIの推奨は『製品への到達を制限』）、Langflow は過去にも同系統のRCEが『修正版でも悪用可能』と報告された経緯があるため、パッチ単独に依存しないでください。

Q深刻度が資料で少し違うのはなぜ？

NVD と ZDI（ZDI-26-036）は CVSS 3.x で 9.8、GitHub Advisory は CVSS 4.0 で 8.9 と評価しています。バージョン体系の違いによる差で、いずれも『認証不要・低複雑度・任意コード実行』という最悪クラスである点は一致しています。評価の細部に関わらず、対応は『公開停止＋更新』の一択です。