何が起きたか
CVE-2026-105740（CVSS 9.9、CWE-78）— 1.9.0より前のバージョンでは、認証済みのLangflowユーザーは誰でも「Stdio」トランスポートでMCPサーバーを追加することでRCEを達成できます。ユーザー指定のコマンドフィールドは、許可リストやサンドボックスなしで直接bash -cに渡され、MCPサーバーリストが取得されたときにLangflowプロセスとして実行されます。envフィールドによりLD_PRELOAD/PATHインジェクションが可能になります。Previdianハニーポットは、2026年9月19日以降、17か国の27〜28のIPから1,423件（1,706件に増加）以上の悪用試行を記録しており、試行は10月11日と10月15日に急増しました。ペイロードはLANGFLOW_SECRET_KEY/スーパーユーザーパスワードと/etc/passwdを収集しました。確認された攻撃パターン（バージョン確認、auto_loginヒット、弱い認証情報のブルートフォース、その後MCP設定エンドポイントにピボット）は、この脆弱性がデフォルト構成で実際にリーチ可能であることを示しています。
なぜ重要か
これは期間中の代表的なAIエージェントサプライ/ツーリング侵害です。主流のAIエージェントワークフロービルダーにおける重大な、実環境で悪用されたRCEであり、特にMCP統合レイヤーを通じて悪用されました。侵害により、サーバー完全乗っ取り、環境変数窃取（LLMシークレット）、横移動、そしてMCP設定がプロジェクト設定に隠れているためフローレビューを生き残る永続化が可能になります。公開されたLangflowを実行しているAIチームは、これをアクティブインシデントレベルのパッチ適用優先事項として扱う必要があります。
攻撃経路
認証済み（または攻撃者が実証したような寛容なauto-login/弱い認証情報経由）の非管理者ユーザーが、コマンドフィールドを含む巧妙に細工されたMCPサーバー設定を/api/v2/mcp/servers/{name}にPOSTします。コマンドはサーバーリストが取得されたときにbash -c経由で実行されます。envフィールドによりLD_PRELOAD/PATHインジェクションが可能です。悪意のある設定は永続化し、サーバーリストが読み込まれるたびに再実行されます。
影響を受けるシステム
Langflow < 1.9.0（MCP stdioトランスポートMCPサーバー設定）
緩和策
Langflow ≥ 1.9.0（1.10.3で最終的な強化）にアップグレード。LANGFLOW_AUTO_LOGIN=falseを設定。信頼できないネットワークに公開しない。ログでPOST /api/v2/mcp/servers/を監視。GHSA-7w94-79vh-5mr2および2026年10月15日付のThe Hacker Newsアドバイザリを参照。