攻撃者は、AIアプリケーション構築用のオープンソースフレームワークLangflowに存在する未認証のリモートコマンド実行脆弱性を悪用し、認証情報、トークン、アクセスキー（OpenAIやAWSのキーを含む）の窃取を狙っている。この脆弱性にはCVE-2026-0768が割り当てられており、深刻度は「重大」と評価されている。問題は、カスタムコンポーネントエディター内のコード検証ツールに存在する。
脅威インテリジェンス企業のVulnCheckは、英国に設置したハニーポットを通じてこの活動を検出し、週末の間に少なくとも50件の悪用試行を記録した。同社の主任セキュリティ研究者であるCaitlin Condon氏は、その後活動が拡大し、検出された攻撃の総数は360件に達したと述べた。攻撃トラフィックの大部分はロシアから発信されていた。
脆弱性はどのように悪用されるのか？
この問題により、攻撃者は認証なしでroot権限のもと任意のコードを実行できる。欠陥は、エンドポイントvalidateに送信されたcodeパラメーターの処理方法に関連している。ユーザーが提供したテキストは、Pythonコードの実行に使用される前に適切に検証されていない。
Condon氏によると、攻撃者は偵察活動から開始し、その後、環境変数を照会して、管理者認証情報やLangflowの高権限スーパーユーザー認証キーに加え、AWSの秘密情報やOpenAI APIキーを探している。検出されたリクエストには、LANGFLOW_SUPERUSER、OPENAI_API*、AWS_ACCESS*、AWS_SECRET*などの変数、/root/.cache/langflow/secret_keyファイル、さらにSSHへのアクセス可能性や.bash_historyファイルのサイズを確認するリクエストが含まれていた。
なぜこのニュースが重要なのか？
侵害の影響はLangflowサーバー自体にとどまらない。Pythonで構築され、ローコード方式で動作するこのプラットフォームは、言語モデル、データベース、API、その他のコンポーネントを接続し、アプリケーション、エージェント、チャット、検索拡張生成システムを作成するために使われている。そのため、環境変数や秘密情報ファイルへのアクセスによって、サーバーが接続先のAIサービスやクラウドサービスへ侵入するための足掛かりとなる可能性がある。
入手可能な事実は、この問題がより広範なパターンの一部であることを示している。同じ年には、Langflowの他の脆弱性も相次いで悪用された。CVE-2026-33017は公表から約1日後に悪用され、Pythonスクリプトの実行やENVファイル、データベースの窃取に使われた。一方、CVE-2026-5027は任意ファイルの書き込みに、CVE-2026-55255は他のユーザーのワークフローへのアクセス、機密データの窃取、後続のマルウェア配布に悪用された。また、CVE-2026-0770ではroot権限によるコマンド実行、クラウド認証情報やコンテナデータの抽出を試みる活動が確認され、CISAはその後、複数の概念実証モデルが公開されたことを受けてCVE-2026-9198の悪用について警告した。
ユーザーは何をすべきか？
情報源は、Langflowユーザーに対し、記事で言及されている既知の欠陥すべてに対処したバージョン1.11.6へのアップグレードを推奨している。Condon氏によると、報告書作成時点でCVE-2026-0768の公開済みエクスプロイトコードは知られていない。しかし、実際の悪用が検出されている以上、公開されたコードがないことを理由に、影響を受けるシステムを危険にさらされていないと判断してはならない。
certi.newsによる編集上の見解：ここでの実際的なリスクは、情報源で明確に示されている3つの要因、すなわち認証なしのコード実行、root権限、標的環境に運用上の秘密情報が存在することが組み合わさることで生じている。検出された攻撃が特定の本番環境の侵害につながったかどうかについて、情報源は証明していない。そのため、この点には独立した検証が必要であり、運用者は影響を受けるバージョンを使用している場合、ログと露出した秘密情報を確認すべきである。