9月2日、BleepingComputerが「Critical Langflow flaw exploited to steal OpenAI and AWS keys」と題した記事を公開した。AIアプリ開発フレームワーク「Langflow」の未認証RCE脆弱性（CVE-2026-0768）が悪用され、OpenAI APIキーやAWSシークレットが窃取されている実態について詳しく報告している。
攻撃者が狙うのは環境変数に潜むAPIキー
攻撃者が実行しているのは単純なシステム侵害ではない。環境変数を直接クエリしてAPIキーや認証情報を抜き取るという、クラウド時代ならではの手口だ。
脅威インテリジェンス企業VulnCheckのリードセキュリティリサーチャー、Caitlin Condonによれば、攻撃者のリクエストは以下の情報を標的にしている。
LANGFLOW_SUPERUSER（Langflow管理者認証情報）OPENAI_API*（OpenAI APIキー）AWS_ACCESS*/AWS_SECRET*（AWSアクセスキー）/root/.cache/langflow/secret_key.sshアクセス状況および.bash_historyのサイズ
これらはいずれも、コンテナや仮想マシン上で動くAIアプリが日常的に保持している認証情報だ。LangflowはDockerやクラウド環境で動かすケースが多く、環境変数にシークレットを渡すのが一般的な運用パターンであるため、攻撃者の標的として理に適っている。
VulnCheckが英国に設置したハニーポットでは、記事公開前の週末（8月30〜31日頃）だけで50件以上の攻撃試行を検知。攻撃トラフィックは主にロシアから発信されており、9月2日の記事公開時点では累計360件に増加している。わずか数日で約7倍に膨れ上がった計算であり、攻撃の拡散ペースの速さが際立つ。
脆弱性の概要：認証なしでrootコードを実行できる
CVE-2026-0768は2026年1月に開示された脆弱性で、Langflow 1.4.2以前に影響する。
問題はLangflowのカスタムコンポーネントエディタにある「コードバリデーター」に存在する。エンドポイント /validate に渡される code パラメータが適切に検証されないまま、Pythonコードとして実行されてしまう。結果として、認証なしでroot権限による任意コード実行（RCE）が可能になる。攻撃者は認証情報やセッショントークンを一切持たない状態でも、このエンドポイントに細工したリクエストを送るだけで任意のPythonコードをサーバー上で実行できる。
Trend Micro Zero Day Initiativeもこの脆弱性を取り上げており、深刻度は「クリティカル」評価だ。現時点では公開されたPoC（概念実証コード）は存在しないとCondonは述べているが、攻撃はすでに現実に起きている。PoC非公開にもかかわらず悪用が広がっている点は、脆弱性の再現が容易であることを示唆している。
なお、本脆弱性（CVE-2026-0768）とは別に、同じLangflowにはRCEを可能にするCVE-2026-0770も存在する（後述のテーブルを参照）。CVE-2026-0768はコードバリデーターエンドポイントの入力検証不備に起因するのに対し、CVE-2026-0770は別の攻撃経路によるRCEであり、両者は独立した脆弱性として扱われている。
Langflowは2026年だけで6件の脆弱性が悪用されている
CVE-2026-0768はLangflowにおける今年の脆弱性悪用事例の一つに過ぎない。LangflowはPythonベースのローコードAIアプリ開発プラットフォームで、LLM・プロンプト・データベース・APIなどをGUIで繋いでワークフローを構築できる。RAG（Retrieval-Augmented Generation）システムやチャットボット開発にも広く使われており、その普及が攻撃者の関心を引いている。
2026年に入ってからの主な悪用事例は以下の通りだ（今回のCVE-2026-0768を含め計6件）。
| CVE | 概要 |
|---|---|
| CVE-2026-33017 | コードインジェクション。開示から約1日で悪用開始。.ENVやDBファイルを窃取 |
| CVE-2026-5027 | パストラバーサル。脆弱なサーバーへの任意ファイル書き込み |
| CVE-2026-55255 | 認証バイパス。他ユーザーのAIワークフロー閲覧、機密データ窃取、第二段階インプラント投下 |
| CVE-2026-0770 | RCE（CVE-2026-0768とは別経路）。rootでのコマンド実行、マルウェア展開、クラウド認証情報・環境変数・コンテナメタデータの窃取 |
| CVE-2026-9198 | 複数のPoCが公開された後、CISAが悪用を警告 |
| CVE-2026-0768 | 今回。コードバリデーター経由の未認証RCE。OpenAI・AWSキーの窃取に悪用中 |
これだけの頻度で脆弱性が悪用されているAIフレームワークは珍しい。Langflowがエンタープライズのクラウド環境に深く入り込んでいる現状が、攻撃者にとっての旨味になっている。
対応：最新版 1.11.6 への即時アップデートを
Langflowの利用者は、バージョン 1.11.6 へのアップグレードが推奨されている。この最新版はCVE-2026-0768を含む既知の全脆弱性に対処している。
環境変数でAPIキーを管理している場合は、侵害の有無を確認するために.bash_historyや直近のアクセスログを確認することも有効だ。
詳細はCritical Langflow flaw exploited to steal OpenAI and AWS keysを参照していただきたい。
