langflow

WordPressからnpm・AIツールまで。直近1年の脆弱性と侵害12事例 修正版を入れたあと、何をすれば対応を終えたと言えるのだろう。 この問いは製品が変わると答えも変わる。SiteGuard Server Editionでは更新する前に攻撃の痕跡を保全するよう案内された。Metabaseでは更新に加えて、利用者のセッションや接続先データベースの認証情報まで確認するよう求められた。Trivyでは安全性を調べるために動かしたツール自体が侵害され、実行した環境の秘密情報を点検する事態になった。Axiosではアプリから使う前にも、依存の導入時に不正なコードが動く仕組みが仕込まれた。 どれも「更新が大事」という一文には収まる。でも、その一文だけでは作業の順番も、確認する範囲も分からない。 前回のPHP2Shellの記事では、WordPressの緊急点検を通じて、設定の意味や残すべき機能を見直した。今回はそこから範囲を広げ、2025年11月1日から2026年10月31日までに公表・悪用・対応が報告された脆弱性と供給網侵害を調べた。WordPressやWebサービスの開発・運用に近い12の事例群を、実際の対応と一緒に追っていく。 公表された悪用・対応の記録をもとに、どの構成が対象になり、更新後にどんな作業が残るのかをたどる。 解説図：サイトの運用では公開ページ以外にも、自動化、接続先、開発環境、作業する人の端末が関係する。 自分に関係する事例から読む 読みたい場所へ進めるよう、まず今回の12事例を並べた。CVEは脆弱性を識別する番号で、一つの製品に複数付くこともある。関連する問題をまとめ、AxiosやLiteLLMのような配布物の侵害も扱うため、12事例とCVEの数は一致しない。 使っているもの・担当する範囲 事例 特に確かめたいこと WordPress wp2shell 同じ系列で更新が実際に完了しているか Reactを使うサーバー React2Shell Server Componentsを処理しているか 自動化ワークフロー n8n 編集権限と公開フォームを別々に確認したか AIフローの公開 Langflow フローの実行と変更を区別できているか BI・分析基盤 Metabase 保存された認証情報まで調査したか 自分で管理するDB MongoBleed 認証より前の処理も修正されているか サーバー用WAF SiteGuard Server Edition 更新前に診断情報を保全したか 機器へのクラウドSSO FortiCloud SSO 追加告知と設定流出への対処を追ったか CI/CDの脆弱性検査 Trivy 実行した配布物と露出した秘密を確認したか PythonのAIゲートウェイ LiteLLM 3月と10月で異なる配布物と経路を確認したか npmの依存とビルド環境 Axios 導入時の実行と、端末・CIの秘密情報まで調べたか 普段使うブラウザー Chrome 更新の取得と適用を両方確認したか ! 情報の基準日は2026年10月31日。本文中の修正版は原則として「その問題への修正が最初に入ったバージョン」を示す。現在導入するバージョンは、後続の修正とサポート状況を含めて公式の現行情報で選んでほしい。図は説明用で、攻撃ログや被害画面を再現したものではない。 時系列も一度見ておきたい。告知が出た日、攻撃を観測した日、悪用を確認した一覧へ追加された日は、それぞれ意味が違う。後から出た調査報告を、攻撃の始まった日と読み替えると、対応に使える時間を見誤ってしまう。 解説図：選んだ事例の主な公表時期。すべての脆弱性を網羅した年表でも、被害件数の比較でもない。 WordPressのwp2shell PHP2Shellと名前が似ているが、こちらはWordPress本体の別の問題だ。2026年7月17日、WordPressは7.0.2のセキュリティリリースで二つの脆弱性を修正した。SQLインジェクションのCVE-2026-60137と、REST APIのバッチ処理におけるルートの取り違えに関するCVE-2026-63030だ。WordPressのリリース告知 二つがつながったときの影響 WordPress 6.9以降では、この二つを組み合わせると遠隔でのコード実行（RCE）につながり得る。管理画面に入るためのパスワードが先に盗まれていなくても問題になる、という点が重い。IPAは7月22日の注意喚起で、標準構成で管理者権限などを要さず成立する可能性と、CISAの悪用確認済み脆弱性カタログへの登録を伝えている。IPAの注意喚起 ここで、WordPressのバージョンをまとめて扱うと話がずれる。6.8系列ではSQLインジェクションの問題が対象になり、6.9系列以降で二つを組み合わせた影響が問題になる。同じ「WordPressに脆弱性」という見出しでも、中身は一段違う。 開発元のアドバイザリもSQLインジェクションと組み合わせによるコード実行を分けている。一つ目の深刻度だけを見て軽く扱ったり、逆にすべての旧バージョンが同じ条件でコード実行まで到達すると決めたりせず、系列と組み合わせを読む必要がある。SQLインジェクションの開発元情報、バッチ処理の開発元情報 解説図：単独の問題と攻撃チェーンの影響範囲を分ける。古い系列すべてを同じ条件として扱わない。 自動更新の案内と更新完了 この事例で注目したい対応は、WordPress.orgが影響するバージョンへ強制自動更新を有効化したことだ。利用者全員がニュースに気づき、手動で更新してくれることだけに頼らない対応だった。 ただし、提供側が更新を配信したことと、自分のサイトで更新が終わったことは別に確かめる。IPAも、設定や構成、更新失敗によって適用されない場合があるため、管理画面などで実際のバージョンを確認するよう案内している。管理を委託しているなら、「自動更新の対象です」という回答の先に、稼働しているバージョンと確認時点まで聞きたい。 当時の系列 この問題への修正境界 6.8 6.8.6。SQLインジェクションへの修正 6.9 6.9.5。二つの問題への修正 7.0 7.0.2。二つの問題への修正 この表のバージョンを、10月末に新しく導入するバージョンの指定にはしない。同じ系列にも後続リリースがある。公式のWordPressのバージョン一覧と現在の告知を合わせて確認する。 解説図：更新を配信する側の対応と、利用するサイトでの適用確認をつなぐ。 運用へ持ち帰るなら、WordPress本体のバージョンを記録し、使っている系列の修正状況を確認する。そのうえでログイン、記事の表示、フォーム、管理画面の更新など、通常の操作を通す。REST APIの名前を見て一括で閉じる前に、そのAPIを使う公開機能や編集機能が何かを確かめたい。入口を塞ぐ判断にも、止まる機能との対応が要る。 React2Shell 2025年12月3日に公表されたCVE-2025-55182は、React Server Components（RSC）の処理に関係する認証前のコード実行の脆弱性だ。名前を見て「Reactを使っているから全部同じ」と受け取ると、必要な点検を外してしまう。React公式の告知 ブラウザーとサーバーを分ける 今回問題になったのは、Server Componentsを処理するサーバー側のパッケージだ。ブラウザー内だけで動くReactアプリまで一律に対象になるわけではない。一方、自分でServer Functionを書いていなくても、サーバー側でRSCを扱う構成なら確認が必要になる。 「画面を作るライブラリ」と思っていたものが、サーバーへ届く入力を処理している。その構成を把握していないと、フロントエンド担当とサーバー担当の間で更新の担当が浮いてしまう。アプリの名前より、どこでどのパッケージが動くのかをたどる方が役に立つ。 当初はreact-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopackの19.0、19.1.0、19.1.1、19.2.0が影響し、このRCEへの修正は19.0.1、19.1.2、19.2.1に入った。ただし、その後のDoSや情報露出などの追加問題とは区別する。最初の修正版の数字だけを、今の推奨バージョンとしてコピーしない。 解説図：確認するのは、名前にReactがあるかだけでなく、サーバーで何を処理しているか。 公開から適用までの時間 AWSは12月4日の報告で、公表から数時間以内に攻撃試行を観測したと説明した。Google Threat Intelligence Groupは12月12日、侵害調査で確認したバックドアや暗号資産マイナーの配備などを報告している。攻撃試行の観測と、侵害後の調査結果は分けて読む。AWSの観測報告、Googleの調査報告 この短さを見ると、週末にまとめてニュースを読む運用だけでは間に合わない場合がある。とはいえ、焦って別のアプリを更新しても解決しない。まず影響する構成と外部からの到達可否を押さえ、更新が必要なアプリとデプロイ先を担当者に伝える。速さと対象の特定は両方必要になる。 Vercelの振り返りにはWAFへの対応だけでなく、影響するデプロイへの通知、更新を支援するCLI、修正PRの作成といった手段が出てくる。修正コードを公開したあと、利用者が自分の環境へ届けるまでに作業があることがよく分かる。Vercelの対応記録 解説図：依存ファイルを直した状態と、その修正を含むアプリが公開環境で動く状態を区別する。 自分の運用ではpackage.jsonの記載だけで判断せず、解決された依存のバージョンとデプロイ済みの成果物を確認する場面になる。更新のPRがマージされても、以前のコンテナーが動いたままなら、公開環境への適用確認は残っている。WAFで一部の通信を遮断できることも、脆弱な処理自体が修正された証拠にはならない。 n8nの編集権限と公開フォーム n8nのような自動化ツールには、APIキーや接続情報を預け、複数のサービスをまとめて動かすことがある。ワークフローを作れる人は、見た目以上に強い権限を持つ。その一方で、公開フォームはログインしていない人にも使わせたい。この二つを分けて考えさせられるのが、年末から翌年に続いた一連の問題だ。 三つの問題を条件と修正版で分ける CVE 開発元の公表日 主な条件と当該問題の修正境界 CVE-2025-68613 2025-12-19 認証済み利用者の式評価に関係。1.120.4、1.121.1で修正 CVE-2026-21858 2026-01-07 一部のフォーム系ワークフローを通じた未認証のファイルアクセス。1.121.0で修正 CVE-2026-25049 2026-02-04 編集権限を持つ認証済み利用者による式評価の追加の回避。1.123.17、2.5.2で修正 出典は開発元の告知と、開発元が登録したCVEの公開レコードだ。68613の修正バージョンはCVEレコードでも確認できる。CVE-2025-68613の告知、CVE-2026-21858、CVE-2026-25049 この三つを「n8nで未認証RCE」と一行にまとめると、個々の条件が消えてしまう。式を設定する利用者の権限が関係する問題と、公開されたフォームから届く問題では、確認する処理が違う。一つの問題の修正版が後から公表されたすべての問題まで直しているわけでもない。 解説図：ワークフローを編集する人と、フォームを使う人では、必要な権限と到達する処理が違う。 組み合わせた悪用も報告された VulnCheckは2026年3月27日、CVE-2026-21858とCVE-2025-68613を組み合わせた、未認証でのコード実行につながる攻撃試行を観測したと報告した。カナダ政府の告知でも、CVE-2025-68613のCISAカタログへの追加が伝えられている。VulnCheckの観測、カナダ政府の注意喚起 「認証済みの人しか使えない問題だから、外部の人には関係しない」と区切っていたところへ、別の入口がつながる。WordPressの事例と同様、脆弱性は一つずつの説明だけでなく、同じ環境で組み合わさる条件も見る必要がある。 更新までの対処としては、開発元が示す公開フォームやWebhookへの制限、編集できる利用者の制限、OS権限やネットワークの到達先の制限を検討する。ただし、これらは適用条件を確認して使う暫定的な対処であり、修正の適用と同じ状態にはならない。 解説図：ツールを更新する作業と、預けている権限・接続情報を確認する作業を合わせて考える。 自動化は便利になるほど、連携先が増えていく。だから、n8n自身の管理者パスワードだけを点検して終わらせたくない。影響を受けた可能性のあるワークフローが、どの認証情報を利用でき、どのサーバーへ接続できたかをたどる。秘密情報が露出したと判断した場合は、接続先側での失効や再発行も対応に含める。これは、このツールを使うときの権限設計にもそのまま返ってくる話だ。 Langflowの公開フロー AIのフローを公開するとき、外から使わせたいのは、用意した処理の実行だ。その処理の中身まで外部の人が差し替えてよいわけではない。LangflowのCVE-2026-33017は、この区別が崩れる問題だった。 実行する権限と変更する権限 開発元のアドバイザリでは公開フローを構築・実行する経路で、保存済みの定義だけでなく外部入力のフローデータを受け付け、サーバー側でPythonの処理へ渡してしまう問題が説明されている。影響欄は1.8.2以下、当該問題への修正境界は1.9.0だ。公開機能の使い方や認証設定などを含めて条件を確認する。Langflowの開発元情報 たとえば「このフォームから質問してよい」と「フォームの裏で動くプログラムを渡してよい」は、同じ許可ではない。公開した処理を利用させる機能に、処理の定義そのものを受け取る機能が混ざれば、許可した操作の範囲が変わってしまう。 点検したいのは、ログイン画面があるかだけではない。公開しているフロー、その識別子が使われる経路、外部から受け取るデータ、認証を通る場所を対応させる。管理画面が閉じていても、公開実行用のAPIは別に動いていることがある。 解説図：用意した処理を呼び出す許可と、サーバーで動く処理を差し替える許可を分けて考える。 約20時間という観測 Sysdigは3月19日の報告で、脆弱なLangflowを置いた観測環境に、アドバイザリ公開から約20時間後には攻撃試行が届いたと説明した。3月17日20:05 UTCのアドバイザリ公開に対し、最初の観測は3月18日16:04 UTCごろだ。Sysdigの観測報告、公開日時を示すAdvisory API ここで「約20時間」の起点はCVEレコードの公開ではない。CVEレコードは3月20日で、アドバイザリや観測報告と日が違う。また、この報告が示すのはハニーポットで観測した攻撃試行であり、実在する利用企業が何社侵害されたかという件数ではない。 この短い間隔を、単に「攻撃が速くて怖い」で終わらせたくない。公開フローが外から使えること、そこに秘密情報が置かれること、利用者自身がインスタンスに更新を適用することが重なっている。ニュースの購読先と、影響を受けるインスタンスを見つける手段がつながっているかを考える材料になる。 解説図：約20時間はアドバイザリ公開からの間隔。報告日と出来事の日を分けると、経緯を取り違えにくい。 当面の露出を減らすための公開経路の制限や前段での認証と、ソフトウェアを修正する作業は分けて扱う。Sysdigは保持していたシークレットの点検・交換や、不審な外向き通信の確認も挙げている。Langflowを修正版に更新しただけで、既に利用できた接続情報まで無効になったとは判断できない。 なお、LangflowにはCVE-2025-3248という別の認証不足の問題もある。初回公表は今回の期間より前だが、2026年7月にも悪用の観測が報告された。新しい問題の修正に追われるなかで、以前から動く別インスタンスが残っていないかも見たい。新しいニュースだけを読むことと、手元の古い環境を把握することは、別の作業になる。以前の問題の開発元情報、7月の観測報告 Metabaseと接続先データベース BIツールを一台更新する話だと思って読むと、対応範囲の広さに目が止まる。MetabaseのCVE-2026-72898では、BIツール自身への侵入から、そのツールが接続しているデータベースへ影響が広がり得る。 二つのデータベースを分ける Metabaseは2026年8月6日、認証なしで届くAPIのSQLインジェクションを公表した。攻撃者がMetabaseのアプリケーションデータベースに不正なSQLを実行し、Metabaseの管理者権限を得る可能性がある問題だ。ここでいうアプリケーションデータベースは、Metabase自身の利用者や設定などを持つ側を指す。開発元アドバイザリ その管理権限を取られると、アプリに保存された接続情報や設定へ手が届く可能性がある。そこから、分析用に接続している別のデータベースの情報が問題になる。「BIの画面を見られた」で止めず、アプリ自身のDBと、アプリが接続する先のDBを分けてたどりたい。 開発元はMetabase Cloudが未知の脆弱性を使った攻撃を受け、対象エンドポイントを遮断したうえで修正したと説明した。公表時点でCloud利用者の環境は修正済みと案内し、自己管理している利用者には更新と追加の点検を求めている。Metabaseの対応告知 解説図：アプリの設定を持つDBと、業務データを読む接続先DBを分ける。侵害調査では両方が関係する。 更新後に残った作業 OSS版の当時の修正境界は、0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5だった。利用するバージョンの種類と系列を、開発元の対応表に照らして確認する。そのうえで、対象の/api/session/reset_passwordが公開されていた場合、開発元は次の点検も案内した。JPCERT/CCの注意喚起 有効な利用者セッションを失効させる。 APIキーと管理者アカウントに見覚えのない変更がないか調べる。 接続先データベースの認証情報を交換する。 Metabaseと接続先DBのログや操作履歴を調べる。 「更新後にパスワードを変えましょう」という一般論より、対象がずっと具体的だ。アプリを更新する担当と、データベースの認証情報を管理する担当が別なら、後半の仕事を誰が持つかも決める必要がある。クラウドの修正完了の案内を読んだだけでは、接続先側の確認まで終えたことにはならない。 解説図：公開APIの修正と、利用できた権限や認証情報への対処を別の項目として進める。 ログの読み方も具体的だった。開発元が示したパターンには、パスワード再設定のAPIへのPOSTがHTTP 400となり、続く利用者情報の取得がHTTP 200になる組み合わせがある。一つ目がエラーだからといって、そこで攻撃も失敗したとは決められない。エンドポイント、順番、その後の操作を合わせて調べるための手がかりだ。 もちろん、その通信を一度見つけたことだけで、影響の全範囲まで判明するわけではない。管理者の追加、接続設定の変更、DBの読み出しなど、次の調査へつなげる。JPCERT/CCもインターネットから届く状態だった環境では、更新だけで完了せず侵害有無を確認するよう促している。 MongoBleedと認証前の処理 DBには強いパスワードを付け、利用者ごとの権限も絞る。その対策は必要だが、通信が認証にたどり着く前の処理にも不備は起こる。MongoDB ServerのCVE-2025-14847、通称MongoBleedはその点を確かめる事例になる。 認証より手前で読むデータ 問題はzlib圧縮を扱う通信処理にあり、認証前のクライアントから、未初期化のヒープメモリーを読み出される可能性があった。MongoDBに到達できることが関係し、認証を有効にしただけでこの処理が修正されるわけではない。一方、この問題をそのまま「任意のコードを実行できる」「DBの全件を確実に持ち出せる」と書き換えるのも違う。MongoDBのセキュリティ情報、公式の修正チケット ここで確認するのは、DBのネットワーク処理と認証の順番だ。DBへ接続できる送信元を絞ること、通信処理の修正を適用すること、利用者の認証を設けることは、それぞれ担当する場所が違う。どれか一つを済ませたことで、ほかの対処まで不要になったとは考えない。 解説図：認証があることと、認証前の通信処理が修正されていることを区別する。 Atlasと自己管理版の対応 MongoDBの振り返りでは、社内で問題を発見したのは12月12日。Atlas全体には12月18日までに修正を適用し、12月19日にCVEを公表したと説明されている。管理サービスでは提供側が先に修正を進められるが、自己管理のサーバーでは利用者が更新する範囲が残る。MongoDBの対応時系列 当該問題への修正境界には8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、4.4.30が挙げられた。更新がすぐできない場合の暫定策としては、サーバーの圧縮設定からzlibを明示的に外す方法も案内された。利用中の構成と公式手順を確かめ、設定変更をソフトウェアの修正と取り違えないようにする。 ここで「マネージドだから確認しなくてよい」とまでは言えない。提供元の修正対象に、自分が使っているサービスや構成が含まれているかは見る必要がある。逆にAtlasについての修正完了の説明を、自分で立てたMongoDBサーバーにも適用済みだと読んではいけない。製品名が同じでも、更新を実施する担当は変わる。 解説図：管理を誰に任せているかで確認先が変わる。悪用確認済み一覧への追加日は攻撃開始日を示さない。 当初のMongoDBの説明には、悪用や顧客データ侵害の証拠はないという記述があった。その後、CISAは12月29日に悪用確認済みカタログへ追加した。この二つを並べたとき、初期の説明を現在も続く「悪用はない」という断定として読むと誤る。情報が更新された順番を残すことが大切だ。当時のMongoDBの案内、CISAの公式カタログデータ 運用へ置き換えると、DBを置いている場所、管理サービスか自己管理か、公開範囲、圧縮設定、適用されたバージョンを確認する作業になる。「DBには認証がある」という回答の先を、通信が届く位置から見直せる事例だ。 SiteGuard Server Editionと痕跡の保全 守るために置いたWAFも、更新や侵害調査の対象になる。これはWAFが役に立たないという話ではない。防御製品にもソフトウェアと権限があり、その製品が何を処理するかまで管理する話だ。 統計機能の脆弱性 EGセキュアソリューションズは2026年10月14日、SiteGuard Server Editionの統計機能にあるCVE-2026-106931を公表した。OSコマンドインジェクションの問題で、製品が動くサーバー上でrootまたはSYSTEM権限のコマンド実行につながり得る。同社は悪用を確認しているとも説明した。開発元の告知 対象バージョンはVer2.20以降で、統計機能が有効な構成が影響する。同機能は初期値でも有効とされている。製品名、バージョン、機能を合わせて照合する必要がある。WordPress用のSiteGuard WP Pluginなど、名前にSiteGuardが付くすべての製品へ、この影響を広げてはいけない。 また、公式に示された評価にはローカルの攻撃経路と低い権限の前提がある。この説明を、WAFの公開URLへ誰でも一回アクセスすれば侵入できる話に置き換えない。影響が大きいことと、成立条件を省いてよいことは別だ。JVNの情報 解説図：製品名だけで判断せず、バージョンと機能を照合する。別製品や異なる攻撃条件へ一般化しない。 更新より先に残すもの この事例で特に覚えておきたいのは、更新やパッチの適用前に「診断情報」を取得して保管するという案内だ。更新によって攻撃の痕跡が消える可能性があるため、調査に使う情報を先に残す必要があった。JPCERT/CCもこの順序を注意事項として取り上げている。JPCERT/CCの注意喚起 「一刻も早く更新する」と「調査の材料を残す」は、どちらかを無視すればよい関係ではない。この製品では公式に案内された診断情報の取得を先に行い、そのあとに更新・パッチへ進むという、具体的な順番が示されている。 当該修正はApache版・Nginx版・IIS版では8.00 Update5、FreeBSDのApache版・Nginx版では7.00 Update6に入った。IIS版の3.10から4.00 Update4は影響対象から除かれる。更新が難しい利用者向けには対象ファイルを差し替えるパッチ、回避策としては統計機能の無効化も案内された。バージョンの文字列をざっと読まず、OSと製品版を組み合わせて選ぶ部分だ。 解説図：この製品では更新によって失われ得る診断情報を先に残すよう公式に案内された。 開発元はサポート契約がある利用者には9月29日に個別通知したとも説明している。一般向けの公表日と、契約先へ通知した日は同じではない。運用側ではニュースだけでなく、契約先に届く保守通知が誰へ届き、誰が判断するのかも点検したい。 レンタルサーバーに付属するWAFを使っている場合も、「自分が製品を直接契約していないから関係がない」とは判断せず、提供元の告知で対象と対応状況を確認する。利用者が変更できる設定と、提供側が更新する製品本体を分けて聞くと、問い合わせも具体的になる。 FortiCloud SSOの連続した告知 「先月、言われたバージョンへ更新した」。その記録は大事だが、翌月に別の入口の問題が公表されれば、もう一度確認することになる。FortiCloud SSOの事例は、更新履歴を残すことと、追加告知を追うことの両方を考えさせる。 12月と翌1月の問題 2025年12月9日に公表されたCVE-2025-59718とCVE-2025-59719は、FortiCloud SSOが有効な対象装置への認証回避に関係する。続く2026年1月、Fortinetは当時の最新リリースに更新済みの装置にも類似の不正ログインがあったと報告し、別の攻撃経路を調査した。Fortinetの調査と更新履歴 1月27日に公表されたのがCVE-2026-24858だ。Fortinetが登録したCVEの公開レコードには、攻撃者自身がFortiCloudアカウントと登録済みデバイスを持つ条件が記載されている。標的の装置へ正規にログインできる資格が先に必要、という意味ではない。ただし、12月の問題と同じ「未認証の攻撃者」という一文で、条件をまとめて落とすのも正確ではない。Fortinetが登録したCVEレコード また、対象は訂正後のFortiCloud SSOの範囲で読む。Fortinetは1月28日、第三者のSAML IdPとFortiAuthenticatorはこの問題の対象ではないと明示した。「SSOを使っているから全部同じ」でも、「SSOなら認証があるから心配ない」でも判断できない。 解説図：前の修正の有無と、あとから判明した別の経路を分ける。告知の訂正まで時系列に残す。 提供側の停止と利用側の点検 Fortinetの更新履歴では1月23日に悪用されたアカウントを無効化し、1月26日にFortiCloud SSOを停止した。1月27日には脆弱な装置からのアクセスをサポートしない条件でSSOを再開したと説明されている。これは提供側が実際に行った対応だ。 一方、利用者側には対象装置のファームウェア更新、想定外の管理者アカウントや設定変更の点検が求められる。侵害の兆候がある場合は、装置と設定を侵害済みとして扱い、正常な設定への復旧や変更の監査、認証情報の交換へ進むよう勧められている。提供側でSSOが再開したことだけで、個々の装置の設定まで元に戻ったわけではない。Fortinet公式の復旧案内を含む調査報告 認証情報の交換には装置の管理者パスワード以外も関係する。LDAPやADとの連携、VPNなど、設定に含まれる秘密情報を確認する。外部へ持ち出された可能性のある設定が、別のシステムへ入る材料を含んでいないか、という見方だ。 解説図：サービス提供側の対応後も、利用側では装置の設定とそれに含まれる認証情報を確認する。 FortiOSの7.4系列を例にすると、12月のCVE-2025-59718への修正指定は7.4.9以上、1月のCVE-2026-24858への修正指定は7.4.11以上になる。これはそれぞれの問題に対する修正境界で、今から選ぶ全製品共通の最新バージョン一覧ではない。12月のCVEレコード、1月のCVEレコード このような対応では「更新済み」という一語だけを記録すると、どの問題まで対応したかが後で分からなくなる。対象CVE、製品と系列、適用したバージョン、追加告知の確認時点を一緒に残すと、次の知らせが来たときに確認しやすい。 Trivyと検査ツールの配布経路 脆弱性を調べるためにCIで動かしたスキャナーが秘密情報を持ち出す側になっていた。安全を確かめるための道具まで、どこから届き、何の権限で動くかをたどる必要がある。 バージョン番号だけでは対象が決まらない Trivyでは2026年3月19日、悪意あるコードを含むv0.69.4が配布された。Actionの既存タグも書き換えられ、その後にはDocker Hubの配布物への影響も公表された。CVE-2026-33634が割り当てられているが、通常の機能の不備にパッチを当てるだけで整理できる事例ではない。Trivy公式アドバイザリ 利用側が確認するのは、Trivyの数字だけではない。本体をどこから取得したか、どのActionを参照したか、タグかコミットSHAか、いつ実行したか。さらに、その処理にどんな秘密情報が渡されていたかを調べる。 同じタグを使っていても、取得した時点で中身が違うことがある。また、参照しているActionをSHAで固定していても、そのActionが内部で別の可変タグを呼ぶ構成なら、そこで参照先が変わり得る。固定した一行だけを見て安心せず、実際に呼ばれる配布物をたどる必要がある。 解説図：信用して実行する道具も取得元・参照先・実行時刻と渡している権限を確認する対象になる。 トークンを変える順番 3月30日の当事者の振り返りでは既存のGitHub・レジストリーのトークンを失効させてから、新しいアクセスを発行する対応が説明されている。初期の認証情報の更新が複雑で、別アカウントを通じたアクセスが残った経緯も報告された。危険なワークフローの実行条件の除去、SHA固定、リリースの不変化なども対策に含まれている。Trivyの事後報告、Aquaの調査・対応の更新 ここは利用側でも順序を考えたい。侵害された可能性のあるジョブが動いたまま、新しいキーだけを渡せば、それも読める状態にしてしまう。危険な実行を止め、影響する成果物と実行履歴を調べ、露出した秘密を失効・再発行し、安全な状態を確認した環境で再開する。この順序は今回の事例から運用へ引きつけた考察だ。 利用者側の判断も公表されている。Apache Software Foundationは3月20日の初報で、調査の間、それまで利用を許可していた関連Actionを無効化し、ビルドが失敗する可能性も明示した。調査中の段階で利用を止める範囲と、その業務への影響を伝えた例として読める。これは同組織の秘密情報流出がすべて確認された、という意味ではない。Apacheの初報 解説図：悪意ある配布物を除くだけでは、実行中に利用できた秘密情報までは失効しない。 当時の退避先として示された本体v0.69.2やv0.69.3と、情報基準日時点の公式最新リリースv0.76.1も区別する。古い対応記事から安全な退避先を見つけても、そのバージョンを使い続ける指示と読み替えない。Trivyのリリース一覧 検査ツールを入れたこと自体が、検査の完了を保証するわけではない。どこから入手し、何の権限で動かし、その結果を誰が読むのかまでが、CIで検査を運用する仕事になる。 LiteLLMで二度起きた配布物の侵害 Trivyの影響はそのツールを直接動かした組織だけにとどまらなかった。複数のLLMへの接続をまとめるLiteLLMは、3月のPyPI侵害とTrivyの関係を10月30日の振り返りで説明している。さらに10月には、別の経路から正規のリリース工程を使われた。同じ製品の事件でも、前回の「対象外」という説明を使い回せない。 3月と10月では、影響する配布物が違う 出来事 公式に示された主な対象と境界 2026-03-24 PyPIのlitellm==1.82.7、1.82.8。当時の公式Proxy Dockerイメージは非対象 2026-10-21 PyPIのlitellm==1.107.0と、公式が列挙したDocker Hub・GHCRのコンテナ。非公開のEnterprise配布は非対象 3月の公式初報はCIのセキュリティ検査に使ったTrivyの依存を侵害の起点とみていた。悪性版には認証情報を集めて外部へ送るコードが含まれた。公式Proxy Dockerが影響しなかったのは、その配布経路が当該PyPIパッケージに依存していなかったためだ。「LiteLLM全体が同じ状態」だったのではない。3月の公式報告 10月はコンテナも対象になった。v1.107.0だけでなく、latest、main-latest、main-stableも悪性イメージを指した時間帯がある。今のタグが正常な参照先へ戻っていても、以前に取得したイメージまで変わらない。取得・実行時刻とイメージの内容を識別するdigestを、10月の公式な対象一覧へ照らす必要がある。 解説図：3月の「公式Dockerは非対象」を、別事件である10月へ広げない。タグ名だけでなく、取得した内容を確かめる。 正規の工程を通っていても、入力と権限を調べる 10月23日の原因分析では、5月に公開リポジトリーへ誤って入った内部サービスの管理キーが、削除後も失効されずに残ったと説明された。攻撃者はそのキーからGitHub組織の所有者のトークンを取得し、リリース工程が読むソースを別のリポジトリーへ変更した。さらに別の盗難トークンで承認し、正規の工程から悪性版をビルド・配布させた。10月の公式の原因分析 ファイルから秘密を消すことと、その秘密を無効にすることは違う。10月30日の説明でも、悪性版に有効な署名とTrusted Publishingの来歴があったと報告された。署名や公開元の確認に加え、リリースに使うソースと承認権限まで調べる理由が見える。再発防止の説明 影響する環境で、確認のためのpipを動かさない 10月の公式案内は、影響環境でPythonを起動するとcook.pthやsitecustomize.pyが再実行され、pipも例外ではないと警告した。慌ててpip installから始めない。まず疑わしい実行を止めて記録を保全し、正常な別環境から対象の配布物と実行履歴を調べる。痕跡のファイルが見つからないことも、未侵害の証明にはならない。利用者向けの復旧案内 侵害が疑われる環境では、LLM提供元のAPIキーだけでなく、DBのパスワード、クラウドの実行権限、そのホストから利用できた秘密情報まで確認する。正常な別端末から失効・交換し、既知の正常な状態から実行環境を再構築する。古い配布物を削除する作業だけでは、既に利用できた認証情報を無効にできない。 解説図：確認コマンド自体が不正コードを再実行する場合がある。対象の特定、秘密情報の処置、環境の復旧を順序立てて進める。 Axiosとnpmの配布経路 アプリからHTTPリクエストを送る前に、ライブラリの導入だけで端末の侵害につながり得る。Axiosのサプライチェーン攻撃で押さえたいのは、攻撃が始まる場所だ。公開したWebアプリだけを点検しても、開発端末やCIで起きたことを見落としてしまう。 2026年3月31日、乗っ取られたメンテナーのnpmアカウントから、悪意ある依存を含むAxiosが公開された。Aikidoが整理した対象はaxios@1.14.1とaxios@0.30.4。普段使っているパッケージの正規の名前で配られ、二つの系列が影響を受けた。Aikidoの調査記事 importしていない依存が、導入時に動く 追加されたのはplain-crypto-js@4.2.1という依存パッケージだった。解析では、Axios本体のソースからこのパッケージをimportするコードは見つからなかった。攻撃者が使ったのは、インストール時に実行されるpostinstallスクリプトだ。そこから、端末を遠隔操作するための不正プログラムであるRATを、macOS、Windows、Linuxへ配備する仕組みになっていた。StepSecurityの解析 つまり、アプリのHTTP通信に不審な処理がないかを探すだけでは足りない。導入時スクリプトを許す環境では、自分のアプリを起動する前にも、依存パッケージのコードが実行される。テストを始めるより前に、ビルド用の認証情報へ届く可能性がある。調べる対象にはインストールを実行した端末とCIランナーも入る。 npmで配られたもの 今回確認された役割 axios@1.14.1 1.x系列に悪意ある依存を追加したバージョン axios@0.30.4 0.x系列に同じ依存を追加したバージョン plain-crypto-js@4.2.1 導入時のスクリプトでRATを配備するための依存 StepSecurityの時系列では、悪性のAxiosが出たのは3月31日00:21 UTCと01:00 UTC。二つの系列への公開は39分の間に続いた。解析では、対応するコミットやタグはAxiosのGitHubリポジトリーに存在しなかったとも報告された。GitHubでソースを読んだことと、npmから取得した配布物を確かめたことは、同じ確認にならない。 解説図：Axiosのソースからimportされない依存でも、導入時スクリプトを許すとコードが動く。取得した事実と実行結果は分けて調べる。 消えているファイルを、安全の根拠にしない この事件では、実行後にドロッパーが自分のファイルを削除し、package.jsonを無害に見える内容へ差し替える動きも解析されている。あとからnode_modulesを見て不審なスクリプトがなかったとしても、それだけで過去の実行を否定できない。Aikidoが示した痕跡と対応 反対に、plain-crypto-jsのフォルダーを見つけただけで、RATの配備まで成功したと断定するのも早い。パッケージを取得・展開したこと、導入時スクリプトが実行されたこと、その後の不正プログラムが動いたことには段階がある。スクリプトを無効にしていた構成も含めて調べる必要がある。 確認するのは現在の依存ツリーとlockfileに加え、該当時期のインストール・ビルドの履歴、ネットワーク通信、使ったキャッシュだ。悪性バージョンを解決していたジョブが、どの環境で、どの秘密情報を使えたかを対応させる。npmから削除された後でも、以前に取得した配布物やキャッシュを調査から外さない。 当事者は端末と認証情報まで対応した メンテナーは4月2日に公開した事後報告で、端末を狙ったソーシャルエンジニアリングとRATによってnpmアカウントの認証情報へアクセスされたと説明した。実施した対応として挙げたのは、メンテナーの端末の初期化と、認証情報のリセットだった。また、OIDCを使う公開手順や、公開後に変更できないリリースの整備などを、進行中の改善として挙げた。メンテナーの事後報告 Vercelも3月31日、自社のビルド基盤から攻撃者の通信先への接続を遮断したと公表した。同社は自社システムへの影響はなかったと説明する一方、悪性バージョンをビルド環境で使った利用者には、クリーンな依存での再デプロイと、その環境に置かれていたAPIキー、DB認証情報、トークンなどの交換を案内した。Vercelの対応と利用者向けの案内 ここでAxiosだけを前のバージョンへ戻しても、既に読まれた可能性のある秘密情報は元に戻らない。利用者側でも、影響する実行を止めて記録を保全する。侵害が疑われる場合は、その環境から利用できた認証情報を、正常な別の端末から早急に失効・更新する。端末やランナーは既知の正常な状態から再構築し、新しい秘密は安全を確かめた復旧先だけへ渡す。GitHubのマルウェア情報も別の端末から秘密情報を更新し、パッケージ削除だけで関連する不正プログラムを除去できたとは考えないよう案内している。Axiosのマルウェア情報 依存の入れ直し、環境の復旧、秘密情報の処置を、それぞれの完了として確認したい。 解説図：悪性バージョンを除去する作業と、実行した環境・そこで利用できた秘密情報への対処を分ける。 lockfileとnpm auditにも、担当する範囲がある 当時の退避先は1.xが1.14.0、0.xが0.30.3だった。これは今回の悪性バージョンを避けるために案内された番号で、今後もそのまま固定し続ける推奨ではない。現在のサポートと後続の修正を確認して選ぶ。 再発を考えるとき、lockfileは必要な記録になる。ただし、悪性バージョンを含むlockfileを固定すれば、その内容を再現することにもなる。npm ciがlockfileどおりに導入することと、そこにある配布物が安全であることは別だ。依存名、解決されたバージョン、取得元と時点も確かめたい。npm ciの公式仕様 導入時スクリプトを抑える--ignore-scriptsも対策の一つになるが、既に実行されたコードを取り消す機能ではない。使っているnpmのバージョンと設定、必要な生成処理やビルドへの影響を確認して採用し、通常のアプリ実行時に動くコードへの対策まで済んだとは考えない。npm auditも既知の脆弱性情報との照合が中心で、「結果がゼロだから未知の改ざんもない」という保証にはならない。何を実行させるかという設定と、何を検知したかという結果を分けて使う。npm CLI v11のスクリプト抑止設定、npm auditの公式仕様 この事件で問われたのは、HTTPクライアントをどのバージョンへ直すかだけではなかった。いつもの依存を導入する作業で、どのコードが、どの端末の、どの権限を使うのか。Webサービスの公開前にも守る場所があることを、具体的に突きつける事例だった。 Chromeと運用者の端末 公開サーバーやCIを点検していると、作業に使うブラウザーは背景に回りやすい。でも、そのブラウザーから管理画面を開き、クラウドへログインし、リポジトリーの設定も変えている。サーバーの更新と並べて、普段使う端末側にも確認項目を持っておきたい。 悪用確認と分かっていない範囲 Googleは2026年6月8日のChrome Stable更新で、V8の範囲外メモリーアクセスに関するCVE-2026-11645を修正した。同じ告知の中で、実環境にexploitが存在することを認識していると説明している。修正前から悪用の情報がある問題として、手元の適用状況も確認したい事例だ。Googleの6月8日の告知 ただ、この告知だけでは、誰がどのページへ誘導され、どこまで侵害されたかという攻撃全体の詳細は分からない。V8の一つの不備を、そのまま端末のOS全体の権限取得と説明したり、利用者全員の被害へ広げたりはできない。ブラウザーの処理、ほかの防御、攻撃の組み合わせは区別する。 解説図：管理対象には公開サーバーへアクセスする人のブラウザーも含まれる。特定の攻撃連鎖を再現した図ではない。 ダウンロードと適用を確かめる このとき案内されたバージョンはWindows・Mac向け149.0.7827.102／.103、Linux向け149.0.7827.102だった。これは6月の修正境界で、10月末に149を導入する推奨ではない。10月29日の公式告知では、Stable／Extended Stableの配布バージョンは既に別の156系列になっている。番号だけを抜き出すと、古い安全情報を新しい推奨として伝えてしまう。10月29日の公式告知 Chromeの公式ヘルプでは、通常はバックグラウンドで更新が進み、適用には再起動が必要になると説明されている。「自動更新だから大丈夫」と記憶していても、ブラウザーを長く開きっぱなしにしていれば、再起動待ちの更新が残る場合がある。Google Chromeを更新する WindowsのChromeなら、メニューの「ヘルプ」から「Google Chromeについて」を開き、更新状況を確認する。再起動が案内されていれば作業中の内容を確認して再起動し、もう一度その画面で稼働しているバージョンを見る。企業の管理下にある端末では、配信設定や利用チャネルを管理する担当とも確認する。 解説図：更新が提供されたこと、取得されたこと、手元で適用されたことを分けて確認する。 サーバー担当だけで対応表を閉じると、この作業の持ち主が抜けることがある。開発端末、運用用端末、共有端末を誰が更新するのか。ブラウザーの更新履歴を、製品ニュースと自分の端末をつなぐ小さな確認として扱いたい。 関連事例を同じ箱に入れない 本文の12事例以外にも候補を比較した。ここでは対応の違いを読み取れる例を短く挙げる。同じ期間の話でも、CVEのあるソフトウェアの不備と、アカウントや配布物そのものの侵害は区別しておく。 公開する機能によって変わる条件 Cisco AsyncOSのCVE-2025-20393では、脆弱なバージョンに加えて、Spam Quarantineが有効で、インターネットから到達できることが攻撃キャンペーンの対象条件だった。初報の2025年12月17日と、2026年1月15日の修正版追加も区別する。初報の「修正なし」を、いつまでも現在の状態として読むと対応を誤る。Ciscoの公式告知 FortiWebのCVE-2025-64446では、防御製品自身の管理画面が問題になり、CISAは更新後にも不正管理者や設定変更を確認するよう案内した。Ivanti EPMMでは当初のRPMによる暫定修正について、製品を更新したあとに再適用が必要となる条件が示された。対策を入れた瞬間だけでなく、その後の変更で何が残るかも確認する話だ。CISAのFortiWeb告知、CERT-EUのIvanti EPMM勧告 期間の終わりに近い例では、Ivanti Connect Secureに関する10月30日の政府機関の追報がある。CVE-2026-104935、CVE-2026-111357、CVE-2026-118527の連鎖による悪用を伝え、対応先を更新している。10月13日の最初の告知だけを読んで作った表では、後から説明された連鎖全体を扱えない。単独の権限昇格の問題と、組み合わせた侵入の話も分けて読む必要がある。NHS Englandの追報、カナダ政府の更新 依存パッケージの侵害 2025年11月のShai-Hulud 2.0では、Postmanが依存パッケージから自動ビルドと公開権限へ影響が広がった経緯を公表している。トークンの失効、公開権限の絞り込み、認証方法の見直しなど、当事者が何を変えたかを読むと、依存の更新とビルドの権限がつながって見える。Postmanの原因分析 同社の説明では17の公開npmパッケージに波及した一方、PostmanのWeb・クライアントアプリや本番システムは感染しなかった。公開パッケージの侵害を、そのままPostman本体の侵害と読み替えない。 Shai-HuludやAxios、LiteLLMをCVE件数へ足して「脆弱性が何件起きた」と数えると、何を比較したか分からなくなる。共通して考えられるのは、信頼して実行したものが何へ届くかと、そこで利用できた秘密情報をどう扱うかだ。事件の分類は残したまま、運用上の問いを共有する方が理解しやすい。 npmの依存とは別に、Node.js本体も更新する 10月21日のNode.jsの修正には、Brotli展開処理のCVE-2026-111497もあった。攻撃者が渡した圧縮データをアプリがnode:zlibで展開する場合、メモリー破壊からクラッシュ、情報露出、コード実行につながる可能性がある。影響は22・24・26系列で、当該修正は22.23.4、24.22.1、26.12.1に入った。Node.jsを使うすべてのアプリが、この経路から攻撃を受けるという意味ではない。Node.jsの公式リリース Notionは同日、コア製品の修正と本番への展開を完了したと公表した。npmパッケージの更新だけで対応を閉じず、コンテナや実行基盤に含まれるNode.jsも確認する理由になる。これらの資料から実悪用までは確認できない。Notionの対応記録 優先順位を決めるための確認 12事例を並べると、深刻度の数字だけでは作業順を決められないことが見えてくる。認証前に届く処理なのか、特定の機能を有効にしたときなのか、編集権限が必要なのか。どこから届き、どの権限まで使えるかで、自分の環境への影響は変わる。 最初の確認では製品とバージョンを見つける。次に、該当する機能と設定、インターネットからの到達性を確かめる。そこへ実際の悪用の情報と、届く先のデータや認証情報を合わせると、先に扱う環境を絞りやすくなる。 解説図：同じCVEでも、自分の環境の機能・公開範囲・権限によって、対応を急ぐ理由が変わる。 まず担当と対象をつなぐ たとえば、外部公開したAIフローと、閉じた検証環境の同じ製品を一つの行にまとめると、どちらを先に直すかが見えにくい。公開していないから一切のリスクがない、という意味ではない。前提を分けて記録し、正規の利用者や、既に内部へ届いている相手からの経路も検討する。 確認結果を残すなら、「更新済み」だけで終わらせず、次のような項目を一緒に持ちたい。 残す内容 後で判断しやすくなること 製品名、系列、稼働しているバージョン 別系列や別製品の告知を取り違えない 該当機能、設定、公開範囲 成立条件と実環境を対応させる 対象CVE・事件名と参照した告知の更新日 追加修正や訂正が来たときに追い直せる 担当者と管理サービスの範囲 提供側と利用側の残作業を分ける 取得したログと保存先 更新や再構築のあとも調査へ戻れる 認証情報の交換範囲と完了確認 アプリの更新だけで作業を閉じない この一覧を作るために、最初から大きな専用システムが必要なわけではない。手元の運用記録へ、何を見て判断したかを残すところから始められる。次の担当者が同じ環境を見つけ、追加告知を照合できる記録にする。 修正版の数字を読む この記事でも、複数のバージョン番号が並んだ。数字には「初回の修正が入ったバージョン」「当時の一時的な退避先」「今、保守されている系列のバージョン」という違いがある。Trivyのような配布物の侵害では、配布元や取得時刻も加わる。数字が一つ一致しただけで、同じ状態とは判断しにくい。 たとえば、古い対応記事のバージョンへ更新して、その問題の修正境界を越えたとしても、あとで公表された別の問題が残っていることがある。逆に、メジャーバージョンを無条件に上げると、アプリや連携先との互換性の確認が必要になる。利用中の系列、サポート期間、後続の告知、推奨されるアップグレード経路を見て選ぶ部分だ。 だから運用記録には数字だけでなく参照した告知を残す。次に見直す人が「このバージョンにしたのは、この問題に対応するためだった」と読めれば、後続の修正との関係を調べ直せる。次の担当者にも更新の理由と残った確認を伝えられる。 止める機能と残す機能を決める 暫定策として「公開フォームを止める」「統計機能を無効にする」「SSOを止める」といった選択が出てくる。ただ、同じ停止でも影響は違う。問い合わせが受け付けられなくなるのか、分析を見られなくなるのか、管理者が装置へ入れなくなるのか。脆弱性の条件だけでなく、使っている機能から考えたい。 前回のWordPress対応で連絡窓口を残すことを優先したのも、止めるだけでは利用者の用事が消えないからだった。今回の事例でも、一時的に閉じるなら、代わりの連絡方法や管理経路、復旧後の確認方法までつなげて考えられる。 委託先やサービス提供元へ問い合わせる場合も、「影響はありますか」から一歩具体的にできる。対象の製品・バージョン・機能を示し、修正は提供側で適用するのか、利用者が更新するのかを聞く。侵害の可能性があるなら、ログをどこまで取得でき、どの認証情報が確認対象になるかも合わせて確かめる。 対応を終えるための確認 パッチを入れたことは、対応の中で確かに大きな結果だ。ただ、ここまでの事例では、パッチが直すものと、別に処置するものが具体的に分かれていた。既に作られた管理者、使える状態のセッション、持ち出された可能性のある認証情報は、アプリのバージョンが変わっただけでは消えない。 解説図：何を確認して対応を終えたのかを分けて残す。一つの成功を、すべての作業の完了へ広げない。 修正したことと動いていること Axiosのように導入時のコードが問題になった環境では、クリーンな依存へ戻したことに加え、実行した端末・CIと秘密情報への対処を確認する。Reactのようなデプロイを伴う環境なら、依存の変更が稼働中の成果物へ反映されたかを確認する。WordPressの自動更新なら、配信対象になっただけでなく、実際にバージョンが上がったかを見る。Chromeなら、取得した更新を再起動で適用し、表示されたバージョンを確かめる。 更新後に通常の機能が動くことも、利用者のために必要な確認だ。ログイン画面が開くだけでなく、公開フォームの送信、管理画面での更新、必要なバッチや連携まで、対策のために止めた機能と、その影響を受ける範囲が動くかを確かめる。変更した場所と使い続ける機能を結びつけておくと、確認する理由も説明しやすい。 侵害が疑われるときの扱い 悪用が確認された脆弱性を使っていたからといって、すべての環境が侵害されたと決めつけることはできない。同時に、不審なログをすぐ見つけられなかっただけで、未侵害と断定することもできない。保存期間やログの種類によって、調べられる範囲は変わる。 SiteGuardのように更新で痕跡が失われる可能性が示される場合は、その案内に沿って先に保存する。FortiCloud SSOで侵害の兆候があるなら、装置の設定と関連する秘密情報まで扱う。Metabaseなら接続先DBにも調査が続く。対象の環境に合わせ、製品ごとの公式な調査・復旧案内に沿って進める。 バックアップも取得した事実と復旧に使えることを分けて扱う。戻す時点が既に侵害後だったり、ファイルとDBの世代が合っていなかったりすれば、戻したあとに別の問題が残る。必要なデータが戻り、修正も適用され、正常な利用へ戻れる状態を確認して初めて、復旧について具体的に話せる。 読み続けるための小さな運用 一次資料は初報で終わらない。Metabaseのように侵害後の点検が案内されることもあれば、FortiCloud SSOのように対象範囲が訂正されることもある。Reactのように、当初のRCEとは別の追加修正が続くこともある。初報の数字を一度転記して終わると、こうした変更を拾いにくい。 使っている製品の公式セキュリティ情報を決めておき、緊急の連絡先と通常の見直しの機会を持つ。告知を読む人、稼働バージョンを調べる人、業務への影響を判断する人が別なら、誰が誰へ結果を伝えるかを決める。ひとりで運用していても、どの知らせを見たら何を確認するかを残しておくと、次のニュースから作業へ入りやすくなる。 PHP2Shellのときに感じた、設定を一つずつ調べ直すことで理解と意識が深まる感覚は、今回の12事例にもつながっている。製品名を増やして読むと、同じ「更新」という言葉の後ろに、違う仕事があることが見えてきた。 次に脆弱性のニュースを見たときは、自分が使っているかを調べ、その構成で問題が成立する条件を読み、修正を適用したあとに残る確認へ進む。すべてを暗記するより、この順で資料を読めるようになりたい。定期的に見直しながら、何を守り、何を使い続けるための設定なのかを、もう少し具体的に説明できるようにしていく。

Reconstructing an attack timeline for Langflow CVE-2026-105740 Reconstructing an attack timeline for Langflow CVE-2026-105740 A Langflow compromise can leave an unusual evidence trail because the exploit separates configuration from execution. CVE-2026-105740 affects versions before 1.9.0. An authenticated user stores a command through an MCP server setting. Later, loading the server list starts bash -c "exec {command}". Investigators need to connect those events, then find which credentials and internal services the child process reached. Begin with identity and API activity Find successful and failed logins around the incident window. Pay attention to ordinary user accounts because the advisory states that the route did not require an administrator. TheHackerNews described a honeypot sequence that checked /api/v1/auto_login, received 403 and then authenticated with a common username and password. The configuration write appears as POST /api/v2/mcp/servers/{server_name}. Capture the user, token, source address, time, request body and project. Search for other writes by the same identity, including changes to users, tokens or project membership. Locate the execution trigger The list request GET /api/v2/mcp/servers?action_count=true triggers the stored command according to the advisory. A normal administrative request can look identical, so compare it with process activity that follows within a short interval. Review process trees with Langflow as the ancestor. Look for bash, shells, download utilities, reverse-shell clients and interpretable commands. Save command lines and environment data where policy allows. The env configuration can change PATH or inject LD_PRELOAD, which affects how the next process resolves binaries and libraries. Map network flows to those process times. A short callback can precede credential theft and a longer transfer. TheHackerNews reported honeypot payloads that sought LANGFLOW_SECRET_KEY and LANGFLOW_SUPERUSER_PASSWORD, ran Docker commands and read /etc/passwd. Those examples guide searches, but each production timeline needs its own evidence. Read the stored record The MCP configuration is both the trigger and a source of attribution. Its command, environment, owner and project link to the account that created it. It can persist after the request and run again on later list loads. Export the record and its related database rows before removal. A fixed application image without a clean configuration is not a complete recovery. Patch to 1.9.0, remove unapproved entries and verify the MCP inventory. Preserve a hash of the exported evidence and a manifest of approved definitions. Scope secrets and lateral movement The Langflow process may hold model, database, source-control and internal-service credentials. Identify every secret available at the execution time. Search those providers and services for use from unusual addresses, clients or times. Rotate the secrets that the process could read. Review internal service authentication, cloud audit logs, database sessions and CI tokens. A reverse shell is only one possible outcome. A stored command that copies a configuration or calls an approved API can look less dramatic in process telemetry while still moving data. Separate facts from inference The exploitation telemetry is useful when its limits are clear. Previdian recorded 1,423 attempts from September 19 through October 15, 2026. Those events came from sensors and do not identify a production victim. ZoomEye returned 19,181 assets for app="Langflow" on October 28, 2026. That is a product-fingerprint tally, not a count of vulnerable instances. In the incident report, label the vulnerability facts, the observed request chain, the process evidence and the credential evidence separately. A missing log entry has a retention or collection explanation before it becomes proof that nothing happened. Close with an operational lesson Require review for MCP commands and environment keys. Alert on command-bearing configuration changes, unexpected child processes and new egress destinations. Keep the service account and secrets narrow. These controls lower the chance that a future configuration mistake becomes a server takeover. References - Langflow advisory GHSA-7w94-79vh-5mr2 - NVD entry for CVE-2026-105740 - TheHackerNews report - Previdian exploitation signals

Detecting exploitation of CVE-2026-105740 in Langflow logs Detecting exploitation of CVE-2026-105740 in Langflow logs The exploit for CVE-2026-105740 leaves more traces than a typical command injection, because it spans two requests and writes configuration in between. A defender with request logs can look for the pattern. The request pair to search for The first request writes a server entry: an HTTP POST to /api/v2/mcp/servers/{server_name}. The second fetches the list: /api/v2/mcp/servers?action_count=true. Either request alone can be legitimate traffic. The pair from one session, minutes apart, where the POST body contains a command field with shell syntax, is the signature. Fields worth extracting from the POST body include command, args and env. Look for shell metacharacters, a leading bash or sh invocation, curl or wget to an external address, and environment entries naming LD_PRELOAD or a rewritten PATH. Authentication context The capability requires a session. Previdian's record of the campaign shows the preparatory steps: a version check, an attempt against /api/v1/auto_login, then a successful login with a common username and password. Authentication logs that show a first-seen IP logging in with an ordinary account shortly before MCP configuration calls are worth pulling in full. Post-exploitation signals The captured payloads in the honeypot data reach for environment variables and application configuration, including LANGFLOW_SECRET_KEY and LANGFLOW_SUPERUSER_PASSWORD, and send them to an external address on port 18764. Docker commands attempting to read /etc/passwd appear alongside. One recurring source address in the telemetry is 192.255.229[.]92, which GreyNoise associates with brute-force activity and exploitation of Flowise CVE-2026-69255 plus several Langflow flaws. Following the stored command, an operator can expect to hold anything the Langflow process can reach: model provider keys, database credentials, and any internal service the container can route to. Configuration review Because the command is persisted, log review alone is incomplete. Read the stored MCP server list and inspect every command value. A shell invocation there is a live backdoor even when the log window has passed and the version has already been patched. What the record cannot tell you Honeypot attempts are not confirmed compromises of production systems. The volume, 1,423 attempts from 27 addresses between September 19 and mid October 2026, describes automated interest in the flaw. It does not establish that any particular Langflow deployment was entered. Exposure context and fix ZoomEye's app="Langflow" search returned 19,181 matching assets when checked; these are fingerprinted deployments rather than confirmed vulnerable hosts. The CVE filter vul.cve="CVE-2026-105740" returned 0 indexed assets at the same time. Upgrade to 1.9.0 or later, disable auto-login, and rotate any secret that was readable from an exposed instance. References - thehackernews.com - previdian.com - github.com/langflow-ai/langflow/security/advisori…

From CVE-2026-105697 to CVE-2026-105740: a pattern Langflow did not close From CVE-2026-105697 to CVE-2026-105740: a pattern Langflow did not close Langflow has now shipped two fixes for the same defect class in its MCP stdio integration. The first, CVE-2026-105697, covered command injection through MCP server configuration and was addressed under advisory GHSA-w794-rj3p-xv45. The second, CVE-2026-105740, affects releases before 1.9.0 and is described in GHSA-7w94-79vh-5mr2. Both carry a CVSS score of 9.9. What the two advisories have in common Both describe a user controlled command reaching a shell. Both run with the privileges of the Langflow process. Both belong to the stdio transport, where the platform starts a local process for the MCP server. A near-identical vulnerability returning after a fix suggests the first fix addressed a symptom. Removing one unsafe path while leaving the general pattern of building a shell command from configuration allows a later change, refactor or new endpoint to reintroduce it. Why a second occurrence is a design signal When two vulnerabilities share a root cause, reviewers should ask what invariant the code relies on. Here the invariant appears to be "the command field is trusted." That is not an invariant, it is an assumption, and the advisory language for CVE-2026-105740 states plainly that there is zero validation, no allowlisting and no sandboxing. The alternative design is unglamorous: an allowlist of launchable executables, argv arrays instead of shell strings, no inheritance of user-supplied environment variables, and a permission gate on who may change server configuration at all. Operational consequences for the second wave Teams that remediated the first flaw may have treated MCP configuration as reviewed. It is worth re-checking. A stored command from before the fix is data in project settings, and upgrading the platform does not remove attacker-supplied entries. - Re-read the MCP server list for shell invocations. - Verify that the release in service is at or past 1.9.0, not just past the earlier fix. - Confirm that environments allowing non-admin users to add servers have a reason to. Exploitation in the wild Previdian counted 1,423 attempts against its honeypot fleet from September 19 to mid October 2026, from 27 addresses across fifteen countries and territories, with a peak of 333 in a single day on October 11. The operators checked the Langflow version, tried /api/v1/auto_login, and authenticated with common credentials when auto-login was disabled. Captured commands pulled LANGFLOW_SECRET_KEY, LANGFLOW_SUPERUSER_PASSWORD and configuration data, tried Docker-based host access, and read /etc/passwd. Exposure context A ZoomEye search for app="Langflow" returned 19,181 assets at the time of writing. These are fingerprint matches and not verified vulnerable installations. Querying vul.cve="CVE-2026-105740" returned 0 indexed assets, which says more about index coverage than about the state of deployed systems. Remediation Upgrade to 1.9.0 or later, clear stored MCP entries of anything unexpected, set LANGFLOW_AUTO_LOGIN=false, enforce unique strong passwords, and review requests to /api/v2/mcp/servers/ for the write-then-fetch pattern. References - github.com/langflow-ai/langflow/security/advisori… - github.com/langflow-ai/langflow/security/advisori… - thehackernews.com

Auto-login plus CVE-2026-105740: the configuration that removes the only barrier in Langflow Auto-login plus CVE-2026-105740: the configuration that removes the only barrier in Langflow CVE-2026-105740 is an authenticated flaw, which puts the login path at the centre of its risk. The attackers recorded by Previdian tested that path first, and their order of operations shows which setting decides whether an exposed Langflow instance is a hard target or an open one. The sequence operators used Ryan Dewhurst of Previdian described one observed sequence to The Hacker News: the attacker checked the Langflow version, attempted /api/v1/auto_login, received a 403 because auto-login was disabled in the honeypot, then authenticated successfully with a common username and password. The resulting bearer token went directly to the MCP server configuration endpoint. The sequence reads as a decision tree. Langflow version sets the payload. If /api/v1/auto_login answers, a session arrives without credentials and the attacker moves on to exploitation. If it does not, the attacker falls back to credential guessing, and a deployment with default or shared passwords hands over the same session. What auto-login means in practice LANGFLOW_AUTO_LOGIN controls whether the platform issues a session without an interactive login. It exists for local or demonstration use, where prompting for credentials on every start is friction. On an internet-reachable host it converts an anonymous request into the authenticated state the vulnerability requires. The vendor reporting on this flaw recommends setting LANGFLOW_AUTO_LOGIN=false. That recommendation is not generic hardening language. It targets the specific step that the recorded operators attempted. The second door: shared accounts A disabled auto-login endpoint only helps if passwords hold. The honeypot sequence succeeded with \"a common username and password,\" meaning the operators carry a short list. Langflow installations that were deployed for an evaluation and never given unique credentials fall to that list. LANGFLOW_SUPERUSER_PASSWORD appears in the command payloads the honeypot captured, next to LANGFLOW_SECRET_KEY. Both are secrets the platform itself holds, and both are useful to an attacker who has already run a command. Exposure that is not about version numbers An instance that is patched but still runs auto-login has a smaller problem than one that is unpatched. It has exposed the entire application, including flows, provider keys and stored MCP configuration, to anyone who can reach the port. That is a data exposure question separate from CVE-2026-105740. Exposure context A ZoomEye query on app=\"Langflow\" returned 19,181 matching assets when checked. The figure counts fingerprinted deployments, not vulnerable ones, and not ones with auto-login enabled. The vul.cve=\"CVE-2026-105740\" filter returned 0 indexed assets at the same time. Checklist for the login path - Set LANGFLOW_AUTO_LOGIN=false on anything reachable beyond localhost. - Confirm /api/v1/auto_login returns an error rather than a session. - Replace shared and default credentials with unique ones. - Restrict account creation to administrators. - Rotate LANGFLOW_SECRET_KEY and the superuser password on any host that was exposed while unpatched. References - thehackernews.com - previdian.com - github.com/langflow-ai/langflow/security/advisori…

Escape SaaS Fees with Local AI (Self-Host n8n, Dify, Langflow & Ollama) Self-host n8n, Dify, Langflow and Ollama on one $10–15/month VPS: an open-source alternative to per-seat SaaS fees for AI automation. This local AI deep dive explains Docker, RAG, AI agents with CrewAI, and running models with no API bill. Repositories and commands are below. Tell us in the comments which subscription you would cancel first. CHAPTERS 0:00 The barrier-to-entry myth 2:06 The SaaS trap: $30/seat adds up fast 4:19 Is self-hosting hard? Docker explained 6:14 Visual workflow builders: n8n, Langflow, Flowise 10:13 Dify & RAG (vector embeddings made simple) 13:30 Autonomous AI agents & feedback loops 17:15 Install Dify in 3 commands 20:00 Ollama: zero API cost 21:31 Recap & the future REPOSITORIES IN THIS VIDEO n8n: n8n-io/n8n Langflow: langflow-ai/langflow Flowise: FlowiseAI/Flowise Dify: langgenius/dify CrewAI: crewAIInc/crewAI Langfuse: langfuse/langfuse Ollama: ollama/ollama MCP servers: modelcontextprotocol/servers Docker Compose: docker/compose COMMANDS SHOWN git clone langgenius/dify cd dify/docker cp .env.example .env docker compose up -d WHAT THIS COVERS A ChatGPT Team seat, Zapier and a CRM can cost a solo founder hundreds of dollars (around ₹15,000) a month before a single paying client. We walk through the alternative: rent a bare-bones VPS and run open-source AI tools on it, including how to choose between Langflow and Dify, how supervisor and worker agents check each other, and why you should bind internal ports to 127.0.0.1. WHO THIS IS FOR Solo founders, small agencies and teams that handle sensitive data, such as law firms, accountants and clinics. You don't need deep Linux knowledge, but you will use a terminal and Docker. Stock footage: Pexels and Pixabay (free licences). Hosts are AI-generated presenters. If this helped, subscribe to Daily Useful Steps. Small steps. Everyday wins. #AIAutomation #LocalAI #SelfHosted

Langflow CVE-2026-105740: RCE via Authenticated MCP Stdio, 2,023 Exploitation Attempts Observed 1. Basic Information - Article Name: CVE-2026-105740 Exploitation Observed — langflow - Source: Previdian - Published Date: 2026-10-05 - Updated Date: 2026-10-17 - Original: Previdian - Related Sources: Langflow Security Advisory GHSA-7w94-79vh-5mr2, SecurityWeek roundup: Langflow exploitation, CVE CNA record: CVE-2026-105740 - Related Malware: None - Related Threat Groups: None - Related CVE: CVE-2026-105740 - Related Products: Langflow before 1.9.0, MCP Stdio transport - Severity: Critical This is a severe vulnerability with a CVSS score of 9.9, allowing low-privileged accounts to achieve code execution on the server. Although observed by a single sensor, continuous exploitation attempts have been recorded from 28 source IPs across 16 countries, including Japan. 2. Quick Summary In Langflow before 1.9.0, authenticated low-privileged users can save MCP Stdio commands, which execute arbitrary commands with the privileges of the Langflow process when a list retrieval request with action_count=true is called. Previdian observed 2,023 exploitation attempts starting September 19, 2026, as of the October 17 verification. 3. Attack Flow Path 1: RCE via MCP Stdio from Low-Privileged Account 1. The attacker authenticates using a low-privileged Langflow account. 2. They add an MCP server using the Stdio transport method, configuring and saving the execution command and optional environment variables (env). 3. When GET /api/v2/mcp/servers?action_count=true retrieves the list with action counts, Langflow passes the saved command without validation to a bash -c process execution. Note that not all standard list retrievals without query parameters trigger execution. 4. Arbitrary OS commands run with the execution privileges of the Langflow process, leading to the retrieval of additional payloads or the discovery of secrets within the environment. 4. Attacker Position and Execution Location - A low-privileged remote user who can log into Langflow. In environments accessible from the internet, leaked credentials or improperly created accounts serve as an initial foothold. 5. Victim and Administrator Perspective - Victim / User: Because it appears as normal workflow editing or MCP server addition, regular user screens may not display clear warnings. - Administrator: Can be observed as the registration of MCP Stdio settings, a bash process starting immediately after a list retrieval with action_count=true, modification of environment variables, and outbound communication to unknown destinations. 6. Success and Failure Conditions Success Conditions - Ability to authenticate with a valid account against Langflow versions prior to 1.9.0. - Low-privileged users must be able to save MCP Stdio settings and trigger the launch of a bash child process on the Langflow server. Execution is triggered by list retrieval with action_count=true. Failure Conditions and Mitigations - Update Langflow to 1.9.0 or later and restrict the use of MCP Stdio to essential administrators only. - Reduce unnecessary internet exposure, shared accounts, and long-lived API keys, and run the Langflow process itself in a low-privileged, sandboxed environment. 7. What Happens Upon Success - Execution of arbitrary OS commands on the Langflow server. - Potential unauthorized access to connected connector credentials, AI model API keys, workflow data, or subsequent discovery within the same network. 8. Observable Logs Below are potential investigation targets within your organization. Availability depends on products, permissions, log settings, and retention periods; the absence of records does not prove the absence of a breach. - Email: No email vectors specific to this issue have been identified. - Proxy / SWG / DNS: Distinguish and check POST requests adding MCP Stdio settings from GET /api/v2/mcp/servers?action_count=true requests, and investigate subsequent child processes or outbound communications. Note that attacks do not necessarily generate external callback traffic. - Endpoint / EDR: Check records of bash, sh, curl, wget, or similar tools launched from Langflow or Python processes, as well as changes to environment variables such as LD_PRELOAD or PATH. - Identity / IdP: Check for the creation of new low-privileged accounts, logins from unknown sources, and API key usage history. - SaaS / Cloud: Check change histories for workflows, MCP servers, connectors, and secrets, along with usage statuses of connected AI models and cloud API keys. - Network: Check the Langflow host for DNS queries to unknown destinations, HTTP traffic, reverse shells, or other communications. 9. Attack Success Determination Confirmed in Public Information - Exploitation attempts observed (success unconfirmed): Public information: Previdian's honeypot sensor observed 2,023 exploitation attempts. The success or failure of command execution and subsequent compromises in production organizations cannot be confirmed solely through this telemetry. Scope: Observations from a single sensor between September 19 and October 17, 2026. Separate contact, execution, persistence, data access, and exfiltration; do not infer unconfirmed success from a single alert. 10. Investigation Playbook - Investigation Starting Point: Start with deployments of Langflow before 1.9.0, suspicious MCP Stdio configuration saves, or bash execution by the Langflow process. - Initial Verification: Check the running version, scope of internet exposure, used accounts, contents of saved MCP server command and env settings, and the execution time and user of list retrievals with action_count=true. The user who saved the setting and the user who triggered the list retrieval may not be the same. - Device and Server Investigation: Preserve the process tree, shell history, environment variables, downloaded files, temporary directories, and container-host boundary settings. - Authentication and Cloud Investigation: Check Langflow accounts, API keys, connector credentials, and usage history of tokens for model providers. - Subsequent Actions: Track secret discovery, additional payload deployment, internal network scanning, unauthorized cloud API usage, and data exfiltration. - Containment: Isolate the target service from the network, update to 1.9.0 or later, revoke suspicious accounts and API keys, and remove unauthorized MCP Stdio settings. - Determination Categories: Evaluate scan traffic, logins, MCP setting saves, command execution, secret access, and external communication in separate stages. 11. Defense and Detection Ideas - Single Event: Detect events where bash -c or download utilities are launched from Langflow or Python processes with high priority. - Time-Series Correlation: Correlate logins using low-privileged accounts, saving MCP Stdio settings, list retrievals with action_count=true, bash execution, and outbound traffic in chronological order. - Threat Hunting: Search all internal Langflow environments for versions, internet exposure status, MCP Stdio configurations, shared accounts, and suspicious child processes on hosts. - Log Limitations: Because Previdian's public telemetry lacks details on requested paths, User-Agents, and callback host details, internal application logs and EDR logs must be cross-referenced. - Priority Mitigations: Prioritize updating to version 1.9.0, restricting permissions for the MCP Stdio feature, sandboxing the host side, and rotating saved credentials. 12. Facts / Inference / Hypothesis Facts - In Langflow before 1.9.0, MCP Stdio command values saved by authenticated users are passed directly to bash -c execution without prior validation, allowlists, or sandboxing when list retrieval with action_count=true occurs. - Saved command values are executed via list retrieval specifying action_count=true, and this request is also called when viewing MCP settings in the management console. Because settings are persisted, they re-execute whenever list retrieval matching these conditions occurs. Environment variable injection such as LD_PRELOAD or PATH via the env field is also possible. - Previdian observed initial exploitation attempts on September 19, 2026, recording a cumulative total of 2,023 attempts, 28 source IP addresses, and 16 countries as of the October 17 verification. - This observation is based on a single honeypot sensor. Although source countries include Japan, this does not mean organizations within Japan suffered damage. - CVE-2026-105740 is registered with a CVSS v3.1 score of 9.9 as CWE-78, and was patched in Langflow 1.9.0. Previdian's public page noted it as not listed on CISA KEV as of October 17. - The CVE CNA record defines affected versions as prior to 1.9.0. Additionally, the GitHub advisory package field lists 1.8.3, and the fixed version field lists 1.9.0. Inference - Because publicly available exploitation observations are records of attempts against a single honeypot, the arrival of attack requests and successful compromises in production organizations must be evaluated separately. Combining monitoring for leaked or improperly created low-privileged accounts with audits of MCP setting changes improves the accuracy of detecting actual harm. Hypothesis No additional hypotheses. Unconfirmed items are noted in "Unknowns and Additional Investigation". 13. MITRE ATT&CK Mapping | ID | Technique | Confidence | Basis | | --- | --- | --- | --- | | T1059.004 | Command and Scripting Interpreter: Unix Shell | high | Commands configured in MCP Stdio are executed on the server via bash -c. Source | | T1078 | Valid Accounts | medium | Exploitation requires an authenticated low-privileged Langflow account. Source | 14. Unknowns and Additional Investigation - Specific payload contents observed by Previdian, callback destinations, attacker objectives, the number of successful compromises in production organizations, and the breakdown of duplication or automated scanning within the 2,023 attempts cannot be confirmed from public information. 15. Impact on SOCs and Organizations Because AI workflow platforms connect closely with credentials for external services and internal data connectors, the impact of remote code execution (RCE) on servers extends beyond the Langflow host alone. Organizations running Langflow should prioritize reviewing internet exposure, promptly updating to version 1.9.0 or later, auditing permissions for low-privileged accounts and API keys, and correlating MCP Stdio settings with host-level child process creation logs. 16. Summary by Target Audience - For SOCs: Correlate MCP Stdio configuration saves, list retrievals with action_count=true, bash execution by Langflow, environment variable injection, and outbound traffic over time. Include cases in which a different user triggers list retrieval after the settings were saved. - For Administrators: Update Langflow to 1.9.0 or later, restrict unnecessary internet exposure and MCP Stdio features, and inventory registered accounts and API keys. - For Users: Do not reuse credentials for management consoles or shared accounts, and promptly report any unfamiliar MCP server settings to administrators if found.

@IvankovicBoris Bei 1.9.0 würde ich nicht stehenbleiben. Laut neuerem Advisory ist über Flows/Tweaks weiterhin Befehlsausführung möglich. Komplett behoben haben sie das erst ab der 1.10.3. github.com/langflow-ai/langflow/security/advisori…

Authenticated RCE via MCP Stdio transport allows any user to execute arbitrary OS commands on the server URL: github.com/langflow-ai/langflow/security/advisori… Classification: Critical, Solution: Official Fix, Exploit Maturity: Proof-of-Concept, CVSSv3.1: 9.9

Authenticated RCE via MCP Stdio transport allows any user to execute arbitrary OS commands on the server URL: github.com/langflow-ai/langflow/security/advisori… Classification: Critical, Solution: Official Fix, Exploit Maturity: Proof-of-Concept, CVSSv3.1: 9.9