skip to content
今日の脆弱性
Table of Contents

概要

本日、CVSSスコア9.0以上の「Critical」な脆弱性が15件公開されました。特に、PrestaShopのPHPオブジェクトインジェクションによるリモートコード実行(RCE)や、IBM Langflow OSS製品における多数の重大なRCE、認証バイパス、情報漏洩の脆弱性が目立ちます。これらは広範囲な影響を及ぼす可能性があるため、速やかな情報確認と対策が求められます。

CVE-2026-54159: PrestaShop ps_facetedsearchのPHPオブジェクトインジェクションRCE

  • CVSS: 10.0 (Critical)
  • 影響: PrestaShop / ps_facetedsearch — versions: >= 3.0.0, < 4.0.4

概要

PrestaShopのレイヤーナビゲーションフィルターモジュールps_facetedsearchにおいて、URLからの入力値が不適切に検証され、内部キャッシュで非安全なunserialize()関数により処理される脆弱性です。これにより、認証されていない攻撃者が悪意のあるPHPオブジェクトを注入し、ウェブシェルを介してサーバー上で任意のコマンドを実行できるリモートコード実行 (RCE) が可能となります。

推奨対応

本脆弱性はps_facetedsearchモジュールのバージョン4.0.4で修正されています。影響を受けるユーザーは速やかにバージョン4.0.4へのアップデートを実施してください。詳細はベンダーのアドバイザリを参照してください。

参考

CVE-2026-8481: IBM Langflow OSSのコード検証エンドポイントにおけるRCE

  • CVSS: 9.9 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、POST /api/v1/validate/codeエンドポイントに深刻なリモートコード実行脆弱性が存在します。このエンドポイントは、ユーザーが提供するPythonコードをサンドボックス化、入力検証、権限制限なしにPythonのexec()関数で直接実行するため、認証された任意のユーザーがLangflowサーバープロセスの完全な権限で任意のシステムコマンドを実行できます。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。詳細な緩和策やアップデート情報は提供された参考リンクを参照してください。

参考

CVE-2026-8476: IBM Langflow OSSのディスクキャッシュ逆シリアル化RCE

  • CVSS: 9.9 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0に、ディスクベースのキャッシュメカニズムにおける深刻なリモートコード実行脆弱性が存在します。AsyncDiskCacheクラスが、検証や整合性チェック、認証なしにPythonの安全でないpickle.loads()関数を使用してディスクからキャッシュされたオブジェクトを逆シリアル化するため、悪意のあるpickleペイロードが処理されると任意のコード実行が可能になります。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。ファイルシステムアクセスなどを通じてキャッシュデータに影響を与えうる可能性がないか、システム構成を見直すことも推奨されます。

参考

CVE-2026-8635: IBM Langflow OSSのPythonインタープリタコンポーネントにおける任意コード実行

  • CVSS: 9.9 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、認証されたユーザーがデータベースを直接操作することで、スーパーユーザーへの特権昇格、任意のシステムコマンドの実行、およびLangflowサービス権限での完全なシステム侵害が可能となる脆弱性です。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。データベースへのアクセス権限管理を厳格化することも重要です。

参考

CVE-2026-8859: IBM Langflow OSSのContent-Dispositionヘッダーを介したAPIRequestコンポーネントのパストラバーサル

  • CVSS: 9.9 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、APIRequestコンポーネントの不適切な入力検証により、攻撃者が任意のファイルを意図しない場所に書き込むことが可能となるパストラバーサル脆弱性が存在します。「Save to File」機能が有効な場合、HTTPレスポンスのContent-Dispositionヘッダーから抽出されるファイル名がサニタイズされないため、../などのシーケンスを含む細工されたファイル名により、Langflowプロセスからアクセス可能な任意の場所にファイルが書き込まれる可能性があります。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。外部からのファイル名入力に対する厳格な検証を徹底することが重要です。

参考

CVE-2026-9135: IBM Langflow OSSのPoliciesコンポーネントにおけるCodeInputフィールドのバイパス

  • CVSS: 9.9 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0（v1.9.2の特定のコミットまで）において、PoliciesコンポーネントのToolGuard統合にコードインジェクション脆弱性が存在し、allow_custom_components=falseというセキュリティ制御がバイパスされます。検証メカニズムがメインのコンポーネントソースコードのみをチェックし、動的なCodeInputフィールドを検証しないため、攻撃者はこれらのフィールドに悪意のあるPythonコードを埋め込み、認証されたユーザーがバックエンドで任意のPythonコードを実行できます。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。特にToolGuard統合を利用している場合、注意が必要です。

参考

CVE-2026-8505: IBM Langflow OSSのWebhookエンドポイントにおける認証バイパス

  • CVSS: 9.8 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、LangflowのWebhook認証ロジックに認証バイパス脆弱性が存在します。WEBHOOK_AUTH_ENABLE設定がFalse（デフォルト設定）の場合、システムがAPIキー検証を誤ってバイパスするため、フローのUUIDを知るリモートの非認証攻撃者が、そのフローを所有者として実行し、リモートコード実行 (RCE) につながる可能性があります。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。また、WEBHOOK_AUTH_ENABLE設定が環境のセキュリティ要件に合致しているか見直しを推奨します。

参考

CVE-2026-13446: IBM Langflow OSSの複数のAPIエンドポイントにおけるRCE、DoS、パストラバーサル、資格情報露呈

  • CVSS: 9.8 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.1

概要

IBM Langflow OSSのバージョン1.0.0から1.10.1に、ハードコードされた認証情報が含まれており、これが内部認証や外部通信に使用されています。さらに、複数の非認証かつ不適切に認可されたAPIエンドポイントが存在するため、リモートコード実行、サービス拒否、パストラバーサル、および資格情報の露呈といった複合的な脆弱性が存在します。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。ハードコードされた資格情報の使用を避け、APIエンドポイントの認証・認可設定を見直すことが重要です。

参考

CVE-2026-48062: CodeIgniterのファイルアップロード拡張子検証バイパス

  • CVSS: 9.8 (Critical)
  • 影響: codeigniter4 / CodeIgniter4 — versions: < 4.7.3

概要

PHPフルスタックWebフレームワークCodeIgniterにおいて、バージョン4.7.3より前のバージョンでは、ext_inアップロード検証ルールがクライアント提供のファイル名拡張子ではなく、MIMEタイプから推測される拡張子をチェックしていました。これにより、悪意のあるPHPファイルがGIFのようなコンテンツに偽装され、ウェブアクセス可能なディレクトリにアップロードされると、任意のコード実行につながる可能性があります。

推奨対応

CodeIgniter4をバージョン4.7.3以降にアップデートしてください。ユーザーが制御するファイルのアップロード機能を持つアプリケーションは特に注意が必要です。

参考

CVE-2026-9202: IBM Langflow OSSの非認証ユーザー登録によるRCE

  • CVSS: 9.8 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、非認証の攻撃者がLangflowインスタンス上に無制限のユーザーアカウントを作成できる脆弱性があります。NEW_USER_IS_ACTIVE=true（展開オプションとして文書化されている）の場合、新しく作成されたアカウントはすぐにアクティブになり、RCEエンドポイントに認証なしでアクセスできるため、AUTO_LOGINが不要になります。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。NEW_USER_IS_ACTIVE設定が意図せず有効になっていないか確認し、無効化を検討してください。

参考

CVE-2026-9103: IBM Langflow OSSのAuto-Loginエンドポイントを介した非認証スーパーユーザー・トークン発行

  • CVSS: 9.8 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、/api/v1/login/auto_loginエンドポイントの不適切な認証により、非認証でスーパーユーザーのベアラー・トークンが発行される脆弱性が存在します。AUTO_LOGIN設定が有効（デフォルトで有効）な場合、非認証のリモート攻撃者が完全な管理アクセス権を取得する可能性があります。さらに、CORS設定が緩いため、トークンが意図しないオリジンに露呈するリスクも高まります。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。AUTO_LOGIN設定を見直し、CORS設定を厳格化することが強く推奨されます。

参考

CVE-2026-3031: Perl用Image::EPEGがサポート終了のEpegライブラリを組み込み

  • CVSS: 9.8 (Critical)
  • 影響: TOKUHIROM / Image::EPEG — versions: 0 〜 <= 0.15

概要

Perl用モジュールImage::EPEGのバージョン0.15までが、2004年以降更新されていないサポート終了バージョンのEpegライブラリ(Epeg 0.9.0)を組み込んでいます。これにより、Epegライブラリ自体の既知または未知の脆弱性がシステムに影響を及ぼし、潜在的な深刻なセキュリティリスクを引き起こす可能性があります。

推奨対応

Image::EPEGモジュールの使用を中止するか、より新しいバージョンの画像処理ライブラリへの移行を検討してください。ベンダーからの正式なアップデートがないため、代替手段の検討が不可欠です。

参考

CVE-2026-9198: IBM Langflow OSSのAuto-Loginバイパスとコード検証を介した非認証RCE

  • CVSS: 9.8 (Critical)
  • 影響: IBM / Langflow OSS — versions: 1.0.0 〜 <= 1.10.0

概要

IBM Langflow OSSのバージョン1.0.0から1.10.0において、非認証の攻撃者が/api/v1/auto_loginエンドポイント（任意のネットワーク呼び出し元にスーパーユーザー・トークンを発行する）と/api/v1/validate/codeエンドポイント（exec()経由でユーザーコードを実行する）を連鎖させることで、デフォルトのLangflow展開環境において完全なリモートコード実行 (RCE) を達成できる脆弱性です。

推奨対応

IBMのベンダーアドバイザリを確認し、本脆弱性に対応する推奨パッチを速やかに適用してください。特にAUTO_LOGIN設定が有効な環境では、設定の再検討を推奨します。

参考

CVE-2026-51080: Proxmox libpvestorage-perlとlibpve-storage-perlのXXE脆弱性

  • CVSS: 9.8 (Critical)
  • 影響: Proxmox / libpvestorage-perl, libpve-storage-perl — versions: v9.1.1, v8.3.7

概要

libpvestorage-perl v9.1.1およびlibpve-storage-perl v8.3.7において、XML外部実体 (XXE) 脆弱性が発見されました。これにより、攻撃者は外部の実体を参照する悪意のあるXMLを挿入することで、機密情報の漏洩、サービス拒否、またはシステムへの不正なアクセスを誘発する可能性があります。

推奨対応

Proxmox VEのセキュリティアドバイザリを確認し、影響を受けるパッケージの更新を速やかに行ってください。XML処理における外部実体の利用を制限する設定も検討してください。

参考

CVE-2026-12692: Vimesoft Enterprise Video Platformの不適切な認証

  • CVSS: 9.8 (Critical)
  • 影響: Vimesoft Inc. / Enterprise Video Platform — versions: 3.11.0.0 〜 < 3.25.0

概要

Vimesoft Inc. Enterprise Video Platformのバージョン3.11.0.0から3.25.0より前において、未検証のパスワード変更処理により認証バイパスが可能となる脆弱性が存在します。この脆弱性を悪用されると、認証されていない攻撃者がシステムに不正にアクセスし、機密情報の閲覧や改ざん、システムの乗っ取りなど、深刻な影響を及ぼす可能性があります。

推奨対応

Enterprise Video Platformをバージョン3.25.0以降に速やかにアップデートしてください。ベンダーの指示に従い、追加のセキュリティ設定や監査も検討してください。

参考

出典