AI構築ツールFlowiseに脆弱性26件 CVE-2026-70477ほか、3.1.4以上へ

【2026年8月5日更新】8月4日、Flowiseの脆弱性が一日で26件公表されました。うち危険度9.0以上が10件、最高は9.5。1件は実際にroot権限のシェルが取れることまで検証済みです。26件すべてを塞ぐには3.1.4以上への更新が必要で、本記事が従来案内していた3.1.0では1件も防げません。詳細は次章にまとめました。

以下は、7月に公表されたCVE-2026-56271を中心とした従来の内容です。

コードを書かずにAIチャットボットやAIエージェントを組み立てられる人気ツール「Flowise」に、初期設定のまま動かしていると、誰でも管理者になりすませてしまう新たな重大脆弱性（CVE-2026-56271）が公開されました。米国時間7月12日に米国の脆弱性データベースNVDへ登録されたもので、危険度は10段階中9.8。ログインする必要も、パスワードを当てる必要もありません。原因は、利用者が本人かどうかを見分けるための“鍵”が、初期状態だと世界中のどのFlowiseでも同じ値（いわば工場出荷時の合鍵）になっていることです。

救いは、この穴には修正版3.1.0が用意されている点です（ただし前述のとおり、8月4日公表の26件を防ぐには3.1.4以上が必要です）。更新すれば塞げます。ただしFlowiseは、この手の「認証の甘さ」がくり返し見つかってきた製品でもあります。今回のCVE-2026-56271は、誰でも正規アカウントを勝手に作れたCVE-2025-71327（登録APIの認証欠落）に続く、ログインの壁そのものをすり抜けられる系統の最新章にあたります。さらにさかのぼれば、いまも修正版が公開されていないCVSS 10.0の欠陥CVE-2025-71338（後述）も残ったままです。

つまりFlowiseの防御は、「最新版に上げれば終わり」では片づきません。自分のFlowiseがどのバージョンで、どこからアクセスでき、どんな鍵をつないでいるか。本記事では、いま最優先で対処すべき8月4日公表の26件を先頭に、次いでCVE-2026-56271を置き、2024年のoverrideConfigの欠陥（後述のCVE-2024-58351）以降にくり返されてきた重大脆弱性の対応状況を、影響範囲の早見表とあわせて整理します。

Flowiseとは何をするツールか

Flowiseは、画面上でブロックを線でつなぐだけで、AIチャットボットやAIエージェント、社内文書をAIに答えさせる仕組み（RAG）を作れるオープンソースのツールです。プログラミングの専門知識がなくてもAIアプリを組めるため、「ノーコード／ローコードでAIを作る道具」として広く使われています。GitHubのスター数は5万を超え、この分野では最も人気のあるツールのひとつです。

使い方は大きく2通りあります。ひとつは公式のクラウドを借りる方法、もうひとつが自分のサーバーに置いて動かす「セルフホスト」です。今回の欠陥が効いてくるのは後者です。Flowiseはnpm install -g flowiseのような数行のコマンドで、AWSやAzure、GCP、あるいは社内のLinuxマシンに簡単に立てられます。手軽さゆえに、検証用に立てたまま放置されたインスタンスや、初期設定のままインターネットに露出したインスタンスが世界中に大量に存在しています。

そしてFlowiseは、その性質上機微な接続情報の集積地になりがちです。AIを動かすためのAPIキー（OpenAIやAnthropic等の料金に直結する鍵）、社内データベースへの接続情報、RAGに読み込ませた社内文書やマニュアル、顧客とのチャット履歴。これらが1台のFlowiseに集まっています。乗っ取りが起きたとき何が流れ出るのかは、ここを押さえてから読むとわかりやすくなります。

【最新】8月4日、Flowiseに一斉26件。更新先は3.1.4です

2026年8月4日、Flowiseの脆弱性が一日で26件公表されました。うち危険度9.0以上が10件、最高は9.5が2件です。本記事はこの26件を、危険度と「必要な権限」で整理します。※件数は本稿執筆時点（2026年8月5日朝）のものです。公表は日本時間8月4日の夜から翌朝にかけて断続的に続きました。

やることは一度きりです。26件のうち25件は3.1.3で修正され、残る1件だけが3.1.4で修正されています。したがって更新先は3.1.4以上。本記事が従来案内していた3.1.0では、この26件は1件も塞がりません。

※本記事は当初この26件を「2件」「5件」として公開していました。公表が数時間にわたって続いたため取りこぼしたもので、8月5日朝に全件を数え直して差し替えています。更新先の案内（3.1.3以上）は当初から誤ってはいませんでしたが、正確には3.1.4以上です。

先に、いちばん重い事実を書きます

CVE-2026-69255（危険度9.2）には、実際に動く攻撃手順が公開されています。開発元のアドバイザリには、研究者による次の追記があります。

「これは理論上の話ではない。Flowise 3.1.2 において、root権限でのリバースシェル接続が確立された」

CSV Agent に渡すデータを経由してPythonのコードを注入し、そこからサーバーの最高権限を取るまでの手順が、段階ごとに書かれています。攻撃する側にとって、作り方を考える手間がありません。

ここは正確に区別します。これは「研究者が自分で試して動いた」という話であって、「実際に攻撃されている」という報告ではありません。米政府の実際に攻撃されている脆弱性のリストに、Flowiseはまだ載っていません。ただし動く手順が公開された脆弱性は、そこから実際の攻撃までが短いのが通例です。

最高点の2件は、いずれも「検査をすり抜ける」型（9.5）

CVE-2026-70477は、トレンドマイクロの脆弱性発見プログラム「Zero Day Initiative」による報告です。CSV Agent に指示文（プロンプト）を送り込むことでコードを実行させるもので、AIに文章で指示する仕組みそのものが攻撃経路になっています。

CVE-2026-70470は、Pythonコードの危険な単語を弾く検査を、見た目がそっくりな別の文字（Unicodeホモグリフ）で通り抜けるものです。人間の目には同じに見えるのに、検査の禁止語リストには一致しません。「危ない単語を禁止する」という守り方の限界がそのまま出た形です。

9.4が4件。うち3件はCSVを読む機能に集中

CVE-2026-69264・69256・69259 と、前述の70477・70470・69255を合わせると、26件中6件がCSV Agent と Python 実行環境（Pyodide）まわりです。表計算ファイルを読み込ませる機能が、そのままサーバーでコードを動かす窓口になっていました。

残るCVE-2026-69254は、JavaScript側の隔離環境（NodeVM）の安全設定を、隔離される側から上書きできたものです。標準モジュールの読み込みを全許可にして child_process を呼べば、root権限でOSのコマンドが実行できます。

ログインなしで届くものが6件あります

26件のうち6件は、アカウントを持たない相手が外から直接仕掛けられます（70477・70470・69255・70478・69258・70476）。優先度がいちばん高いのはここです。

とくにCVE-2026-70478（9.2）は、OAuthのトークン更新窓口が認証免除の一覧に入っていたため、保存された資格情報を復号してアクセストークンごと返してしまうものです。連携先のクラウドサービスへ入るための鍵が、そのまま外へ出ます。Flowiseを更新しても、すでに流出した鍵は無効化して発行し直さない限り生き続けます。

過去の修正を迂回する2件

CVE-2026-69263（8.7）は、2025年のCVE-2025-8943に対する修正の抜け穴です。当時の対策は npx の -y・--yes を禁止し、あわせて環境変数を4つだけ名指しで拒否していました。ところが同じ意味を持つ npm_config_yes は、その4つに入っていませんでした。

前述の70470（Unicodeホモグリフ）と合わせ、どちらも「禁止リストを作って守る」やり方が破られた例です。本記事の後半にある「なぜvm2では止められなかったのか」と、根が同じ問題でございます。

複数チームで使っている組織は、さらに8件が効きます

70474・70473・70472・70471・69262・69252・70476 と未採番1件は、いずれもワークスペースや組織の壁を越えてしまう型です。他チームの資格情報が見える、ファイルを消せる、課金情報を操作できる、変数を読み出せる。

1人で使っている場合は影響しません。しかし部署ごとにワークスペースを分けて1台のFlowiseを共有している組織では、その仕切りが実質的に機能していなかったことになります。

26件の一覧

「必要な権限」が低いものほど優先度が高くなります。修正版は1件を除きすべて3.1.3ですが、26件すべてを塞ぐには3.1.4が必要です。

4件はまだCVE番号が振られていません。開発元のアドバイザリ（GHSA）としては公開済みで、番号は後から付きます。番号がないから軽い、ということではありません。

報告者は、セキュリティ企業elttamが3件、トレンドマイクロのZero Day Initiativeが1件、残りは個人の研究者が中心です。一日で26件という数は、誰か一人が集中的に掘った結果ではなく、複数の研究者の報告が同じ日にまとめて公開されたものと読めます。

CVE-2026-56271：初期設定のままだと“共通の合鍵”で管理者になりすまされる

今回いちばん先に対処すべきなのが、2026年7月12日にNVDへ登録されたCVE-2026-56271です。ひとことで言うと、Flowiseが利用者の本人確認に使う“鍵”が、初期状態では世界共通の決め打ちの値になっていたという欠陥です。危険度は、深刻さを0〜10で表す国際的な共通スコア「CVSS」で9.8（新しい4.0基準でも9.3）。分類はCWE-321（暗号鍵のハードコード）で、認証を丸ごと素通りされます。

この穴を最も歓迎するのは、インターネットに直接つながったFlowiseを機械的に探し回り、管理画面にたどり着いた端から自作の“入場券”をかざして入り込もうとする攻撃者です。彼らはパスワードを盗む必要も、総当たりする必要もありません。鍵の値が公開情報として世界中で同じなら、正規のログインを装った偽の身分証を手元で作れてしまうからです。実際に彼らがやるのは、自分を「管理者」だと名乗る偽トークンを組み立て、Flowiseにそのまま提示して最高権限で入ること。ログイン画面を一度も突破していないのに、中では管理者として振る舞えます。

入られたあとに失われるものは、Flowiseが抱え込みがちな中身そのものです。AIを動かすためのAPIキー（OpenAIやAnthropic等の料金に直結する鍵）を使い倒され、つないだ社内データベースやRAGに読み込ませた契約書・顧客対応ログを持ち出され、常時起動のサーバーを次の攻撃の踏み台に変えられます。しかも偽トークンによる侵入は記録上「正しいログイン」に見えるため、あとから気づきにくいのも厄介です。管理画面をインターネットに公開している組織や個人開発者ほど、直撃を受けます。

なぜ“共通の合鍵”になってしまうのか

Flowiseは、ログインした利用者に「入場券」にあたるトークン（JWT）を発行し、以降のアクセスはこの入場券の正しさで判定します。入場券が本物かどうかは、サーバーだけが知っているはずの秘密の合言葉（秘密鍵）で照合します。この合言葉が第三者に知られていなければ、偽の入場券は作れません。逆に、合言葉が公開情報になっていれば、誰でも本物そっくりの入場券を偽造できます。

CVE-2026-56271は、まさにこの合言葉が抜けていたときの挙動が問題でした。開発元のアドバイザリ（GHSA-cc4f-hjpj-g9p8）とVulnCheckの解析によると、認証を担う内部処理（enterprise/middleware/passport）は、管理者が環境変数で秘密鍵を設定していない場合、警告も出さずにソースコードに書かれた決め打ちの初期値へ静かに切り替わる作りになっていました。その初期値がauth_token・refresh_tokenという、誰でもソースを読めば分かる文字列だったのです。入場券の発行元（issuer）や宛先（audience）の初期値もISSUER・AUDIENCEという固定文字列で、なりすましに必要な材料がすべて公開情報だけでそろってしまいます。

この欠陥は、Kolega.devのコード解析によってkolega-ai-dev氏が発見しました。対象は3.0.13以前で、3.1.0で修正済みです。修正版では、秘密鍵が設定されていなければ危険な初期値へ落ちるのをやめ、起動時に鍵の未設定を検知して止まるよう改められました。対処は明快で、まず3.1.0以降（できれば最新版）へ更新し、JWT_AUTH_TOKEN_SECRETなどの秘密鍵を自分だけが知る十分に長いランダムな値で必ず設定することです。具体的な設定手順は後述の「いますぐやるべきこと」で整理します。

6月に公開された重大脆弱性4件の全体像

Flowiseの認証まわりの脆弱性は、今回が初めてではありません。ひと足先の2026年6月25日には、これまでもFlowiseの攻撃を追ってきたセキュリティ企業VulnCheckの報告で、危険度が最高値の10.0を含む重大脆弱性が一度に4件公開されています。いずれも認証を必要とせず（または認証そのものを回り込み）、最終的にサーバー上で任意のコードを動かす、あるいはAPIへの正規アクセスを奪うことにつながります。まず全体像を一覧で押さえてください。

最新の安定版は3.1.3（6月25日公開）です。CVE-2025-71334とCVE-2025-71336は3.0.6以降に上げれば塞がりますが、CVE-2025-71338とCVE-2025-71327は最新版に上げても修正版が用意されていないため、後述する「露出を断つ・認証で囲う」運用での防御が前提になります。

この4件は、誰が・何を目当てに狙うのか

CVSSの数値だけでは「自分に関係あるのか」が見えにくいので、先に攻撃者の像を描いておきます。今回いちばん警戒すべきは、インターネットに直接つながったFlowiseを機械的に探し回り、ログインを一切必要としない穴へ片っ端から自動で打ち込んでくる無差別スキャン勢です。彼らは標的を選びません。検索ロボットのように世界中のIPアドレスをなめ、応答したFlowiseに既知の攻撃を流し込みます。修正版がない10.0の穴は、こうした自動化攻撃にとって格好の的です。

入り込んだ先で彼らが行うのは、細工したファイル名でサーバーの設定ファイルを上書きし、再起動のタイミングで自分のプログラムを起動させることです。一度この足場を取れば、あとは普通の乗っ取りと変わりません。Flowiseに登録されたAPIキーで他人のAI予算を使い倒し、つながった社内データベースやRAGに食わせた契約書・顧客対応ログを抜き、常時起動のクラウドサーバーを暗号通貨の採掘や次の攻撃の踏み台に転用します。CVE-2025-71327の登録API悪用なら、勝手に作った正規アカウントで堂々とAPIを叩けるため、痕跡が「正しいログイン」に紛れて発覚が遅れます。

被害の最終的な負担は、Flowiseを業務に組み込んだ会社や個人開発者に返ってきます。サーバーが落ちることよりも、AIの利用料を他人に使い尽くされ、社内文書と顧客のやり取りが第三者の保有データに変わり、自社サーバーが攻撃の道具に組み替えられることが本当の痛手です。しかも今回は修正版で一発解決できない以上、「自分のFlowiseが外から触れる状態かどうか」が、そのまま被害に遭うか遭わないかの分かれ目になります。後述のとおり、過去にはFlowiseの別の穴で1万2千〜1万5千台規模が露出していたと報じられており、「うちの小さな検証機など狙われない」という前提は通用しません。

4件の脆弱性をくわしく見る

CVE-2025-71338: ファイル名の細工でサーバーに任意ファイルを書き込む穴（CVSS 10.0・修正版なし）

4件で最も深刻なのがこれです。Flowiseには、RAGに読み込ませる文書を取り込む/api/v1/document-store/loader/processというAPIがあります。VulnCheckの解析によると、ファイルを保存する内部処理（storageUtils.ts）で、外部から渡されたfileName（ファイル名）を中身を確認しないままパスの組み立てに使っていました。

ファイル名に../（ひとつ上の階層へ）という記号を混ぜると、本来の保存先を飛び越えて、サーバー上の好きな場所にファイルを置けてしまいます。これが「パストラバーサル（ディレクトリの綱渡り）」と呼ばれる手口です。公開された実証コード（PoC）では、Flowise自身の設定ファイルpackage.jsonを上書きし、そこに仕込んだ命令がサーバーの再起動時に自動で実行されることで、リモートからの任意コード実行（RCE）に到達しています。攻撃に認証は要りません。CVSSは3.1・4.0のどちらでも満点の10.0、分類はCWE-73（ファイル名・パスの外部制御）です。報告者はpyozzi-toss氏。前述のとおり、開発元アドバイザリの修正版欄は空で、現時点で「このバージョンに上げれば直る」という案内が出ていません。

CVE-2025-71334: チャットフローIDの検証漏れで任意のファイルを読み書きされる穴（CVSS 9.8・3.0.6で修正）

こちらも根は同じ「外部から来た値をパスに使ってしまう」問題です。Flowiseは作ったAIフローをchatflowIdやchatIdという識別子で扱いますが、これらが本来あるべき形式（UUIDや数値）かどうかを確認していませんでした。アドバイザリ（GHSA-q67q-549q-p849）によれば、この識別子にパストラバーサルの値を仕込むことで、/api/v1/chatflows経由でサーバーに任意のファイルを書き込んだり、別のAPI経由でファイルを読み取ったりでき、結果としてコード実行につながります。CVSSは3.1で9.8、4.0で9.3。修正は3.0.6で行われ、識別子をきちんと検証するよう改められました。

CVE-2025-71336: Custom MCP機能から認証なしでOSコマンドが実行される穴（CVSS 9.8・3.0.6で修正）

Flowiseの「Custom MCP」は、外部のMCPサーバー（AIに道具を使わせるための仕組み）を呼び出すためのブロックで、ローカルのMCPサーバーを起動するなど、もともとOSのコマンドを実行する性質を持っています。アドバイザリ（GHSA-6933-jpx5-q87q）によると、ここに送り込んだ設定が隔離（サンドボックス）なしで実行され、弱い認証・認可をすり抜けて任意のOSコマンドが走る状態でした。分類はCWE-78（OSコマンドインジェクション）、CVSSは3.1で9.8、4.0で9.3、修正は3.0.6です。

この「Custom MCPからのコマンド実行」は、本サイトでも取り上げたCVE-2025-59528（CVSS 10.0、2026年4月に実際の攻撃が確認済み）と同じ機能・同じ修正リリース（3.0.6）に属する、近い系統の欠陥です。Custom MCPまわりが一連の点として修正されてきた経緯がうかがえます。いずれにせよ、3.0.6より前のバージョンでCustom MCPを使っているなら、優先的に更新すべき箇所です。

CVE-2025-71327: 登録APIが無防備で、誰でも正規アカウントを作れる穴（CVSS 9.1・修正版なし）

残る1件は毛色が違い、コード実行ではなく「認証の回り込み」です。Flowiseの/api/v1/account/register（アカウント登録API）が保護されておらず、アドバイザリ（GHSA-v5w9-prxf-w882）によれば、組織の初期設定が済んだ後でも、認証なしの第三者が勝手にアカウントを作成できてしまいます。作られたアカウントは正規の権限でAPIにアクセスできるため、実質的に認証を素通りされることになります。分類はCWE-306（重要な機能の認証欠落）、CVSSは3.1で9.1、4.0で9.3。影響を受けるのは3.0.1（報告時点の最新）までで、報告者はReeFSpeK氏とERANV-EVA氏。こちらも開発元アドバイザリに修正版の記載がなく、登録APIを外部から叩けない状態に置くことが当面の防御になります。

自分のFlowiseは対象か（バージョン別早見表）

Flowiseは脆弱性の修正が活発な反面、重大な乗っ取りの穴が時期をまたいでくり返し見つかっています。いま動かしているバージョンをnpm list -g flowiseや管理画面の表示で確認し、下の表でどの穴に該当するかを照合してください。

この表が示すのは、「最新版にしたから安心」ではない、ということです。修正版で塞げる穴は当然すぐ上げるべきですが、今回の10.0（CVE-2025-71338）のように修正版がまだない穴がある以上、「Flowiseは外部公開しない・認証を必ずかける」という運用そのものを見直すことが、バージョンに関わらず最優先になります。次の対策をあわせて実施してください。

いますぐやるべきこと

1. インターネットへの直接公開を今すぐやめる。 修正版がない10.0の穴がある以上、これが最優先です。クラウド上に立てている場合は、ファイアウォールやセキュリティグループで管理画面・APIへのアクセス元を信頼できるIPだけに絞り、外出先から使いたいならVPNやSSHトンネル、認証付きのリバースプロキシ経由に切り替えます。とくに/api/v1/document-store/loader/process（CVE-2025-71338）と/api/v1/account/register（CVE-2025-71327）を外から叩けない状態にすることが、当面の実質的な防御になります。

2. 修正版がある穴は最新版へ更新する。 今回のCVE-2026-56271は3.1.0で、CVE-2025-71334・71336・59528は3.0.6で修正されています。該当するなら、まとめて最新の3.1.3まで上げてください。npmでグローバルに入れている場合はnpm update -g flowise、Dockerの場合は最新イメージを取得してコンテナを作り直します。ただし最新版にしてもCVE-2025-71338・71327は塞がらない点に注意し、必ず1の露出対策と併用してください。

3. 認証を必ず有効にし、秘密鍵は自分で設定する。 Flowiseはユーザー名・パスワードによる保護を設定できます。歴史的に認証は後から追加された機能で、初期状態のまま無防備に動いているインスタンスが多いことが、世界で1万台超が露出していた原因です。環境変数でFLOWISE_USERNAMEとFLOWISE_PASSWORDを設定し、APIキーによる保護もあわせて有効にします。さらにCVE-2026-56271対策として、本人確認トークンの秘密鍵JWT_AUTH_TOKEN_SECRET・JWT_REFRESH_TOKEN_SECRETを、他人に推測されない十分に長いランダムな値で必ず明示的に設定してください。空のまま起動すると、決め打ちの初期値に落ちてなりすましの入り口になります。openssl rand -hex 32などで生成した値を使うと安全です。

4. つないでいる鍵とパスワードを入れ替える。 対象バージョンを外部公開していた可能性があるなら、Flowiseに登録したAPIキー（OpenAIやAnthropic等）、データベース接続情報、各種トークンはすべて漏れた前提で再発行します。AIの利用料明細に身に覚えのない急増がないかも確認します。

5. 侵害の痕跡を点検する。 Flowiseを動かしているサーバーで、ps auxに見慣れないプロセス（暗号通貨の採掘ソフトなど）、/tmpや/var/tmpに身に覚えのない実行ファイル、書き換えられたpackage.json、不審なcron登録や外向き通信がないかを確認します。CVE-2025-71338は設定ファイルの上書きが攻撃の核なので、Flowise本体のファイルが改変されていないかも要点検です。心当たりがあれば、クリーンな環境への作り直しが最も確実です。

CVE-2024-58351：overrideConfigが乗っ取り経路になる仕組み

今回の4件をたどると、Flowiseの脆弱性の「原点」とも言えるのが、2024年に見つかったoverrideConfigの欠陥です。番号は新しく振られていますが（2026年6月にNVDが正式登録）、その後にくり返される「外部入力をそのまま実行・保存する」という弱点の系譜が、ここから始まっています。背景を押さえておくと、今回の4件がなぜ起きたのかが見えやすくなります。

CVE-2024-58351: 設定上書き機能からの認証なしコード実行（CVSS 9.8・2.1.4で修正）

CVE-2024-58351は、FlowiseのoverrideConfigという機能の設計に根ざしています。NVDの分類はCWE-94（コード生成の不適切な制御）。CVSSはバージョン3.1で9.8、新しいバージョン4.0でも9.3と、いずれも最高クラスです。

overrideConfigは、本来は開発者向けの便利機能です。Flowiseで作ったAIフロー（処理の流れ）を外部から呼び出すとき、「今回はこの設定で動かして」とリクエストの中に設定を差し込めます。問題は、この差し込みが初期状態でほぼ無制限に許可されていることでした。開発元のアドバイザリ（GHSA-5cph-wvm9-45gj）でも、「overrideConfigには明示的な許可リスト（allow list）を設けるべきだ」と、許可リストが存在しないことが根本問題だと指摘されています。報告者はryanhalliday氏です。

差し替えられるのは、AIに渡すプロンプト（指示文）の中身だけではありません。Flowiseの一部のブロックは、設定として渡されたコードをサンドボックスと呼ばれる隔離された環境で実行します。サンドボックスは「ここから外には出られない安全な箱」のはずですが、Flowiseが使っていたvm2というライブラリには、箱を突き破って外側のサーバー本体に手を出せる既知の弱点がありました。攻撃者はoverrideConfigでこの箱に細工したコードを送り込み、箱を破って（サンドボックスエスケープ）、サーバー上で任意のプログラムを実行します。修正は2.1.4で行われ、それより前のすべてのバージョンが影響対象です。

なぜ「vm2」では止められなかったのか

overrideConfigの穴の中心にあったのがvm2というライブラリです。これはJavaScriptのコードを隔離して実行するための仕組みで、多くのツールが「外部から来たコードを安全に動かす箱」として採用してきました。ところがvm2は、箱を突き破る脆弱性が次々と見つかった末に、作者自身が「この脆弱性を直すのは不可能に思える」と表明し、開発を終了しています。

つまりFlowiseは、構造的に穴を塞ぎきれない箱を、外部入力の実行に使っていたことになります。開発元のアドバイザリは、代替としてisolated-vmのような、より堅牢な隔離方式への移行を推奨しています。今回のCVE-2025-71336（Custom MCP）が「サンドボックスなしでOSコマンドが走る」ものだったことからも分かるように、AIツールが「ユーザーの書いたコードや式をその場で動かす」機能を持つほど、この“箱選び”がそのまま製品全体の安全性を決めます。同じ構図は、本サイトで取り上げたLangflowのtarリンク悪用RCEやLiteLLMのコマンド注入でも繰り返し現れています。

古い欠陥で終わらない理由：Flowise乗っ取りの連鎖

overrideConfig（CVE-2024-58351）が開けた「外部入力をそのまま実行・保存してしまう」という穴の系譜は、その後のFlowiseでくり返し再発しています。今回の4件はその最新章にあたります。

2025年9月に公開されたCVE-2025-59528は、CVSSが満点の10.0という極めて深刻なものでした。外部のMCPサーバーに接続するための「CustomMCP」ブロックに送った設定が、チェックなしでJavaScriptとして実行されてしまい、認証なしで任意のコードが動く穴です。修正は3.0.6で行われました。今回のCVE-2025-71336が同じCustom MCP機能・同じ3.0.6修正に属することからも、この機能が継続的に狙われてきたことが分かります。

攻撃が確認されていないことは「安全」を意味しません。修正版がないまま技術的な詳細とPoCが公開された状態は、攻撃者にとって最も動きやすい局面です。「コードを書かずにAIを作れる」手軽さは、裏を返せば「外部の入力をそのまま動かしてしまう」設計と紙一重であり、Flowiseはその難しさが集中的に表れている製品だと言えます。

Flowise脆弱性のこれまでの経過

← スワイプで移動

攻撃中CVEの一覧と関連記事

2026年7月時点で、CVE-2026-56271も6月の4件も、いずれも米政府CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」には登録されていません。一方で、同じFlowiseのCVE-2025-59528は実際の悪用が確認されており、KEVへの収載が注視されています。攻撃が確認されたCVEの最新状況は、本サイトのCISA KEVダッシュボード（日本語版）で随時更新しています。

Flowiseのようにnpmで配布されるOSSの脆弱性は、依存関係をたどって思わぬところに影響が広がります。利用中のパッケージに既知の穴がないかは、OSSサプライチェーン・スキャナーから確認できます。AIツールの乗っ取り事案は、本サイトでもLangflowが公開20時間で攻撃された件やAmazonのAI開発ツールKiroの脆弱性、AutoGPTの脆弱性など、同じ「AIに何でもさせられる便利さ」が裏返った形でくり返し起きています。

まとめ

2026年7月12日、Flowiseに新たな重大脆弱性CVE-2026-56271が公開されました。本人確認に使う秘密鍵が未設定のとき、警告もなく世界共通の決め打ちの初期値へ落ち、誰でも偽のトークンで管理者になりすませてしまうCVSS 9.8の欠陥です。こちらは3.1.0で修正されているため、更新と、秘密鍵を自分で設定する運用で塞げます。一方で、6月に公開された4件のうちCVE-2025-71338（文書取り込みAPIの任意ファイル書き込み、CVSS 10.0）と登録APIの認証欠落CVE-2025-71327は、いまも修正版がありません。

これらの多くは、2024年のoverrideConfig（CVE-2024-58351）や、2026年に実際に攻撃されたCVE-2025-59528と同じ「認証や外部入力の扱いが甘い」系譜に連なります。修正版で塞げる穴はすぐ最新の3.1.3まで上げ、塞げない穴については、Flowiseを外部に晒さず認証で囲い込む運用が唯一の現実的な防御です。自分のFlowiseが今どのバージョンで、どこからアクセスでき、どんな鍵をつないでいるか。便利に使っている人ほど、この機会に一度棚卸ししておくことをおすすめします。

参照元

• ▸ NVD - CVE-2026-56271（認証トークン秘密鍵のハードコード, CVSS 9.8）
• ▸ FlowiseAI Advisory - GHSA-cc4f-hjpj-g9p8（CVE-2026-56271）
• ▸ VulnCheck - Flowise weak default JWT secrets in authentication middleware
• ▸ NVD - CVE-2025-71338（document-store パストラバーサル, CVSS 10.0）
• ▸ NVD - CVE-2025-71334（chatflowId 検証不備）
• ▸ NVD - CVE-2025-71336（Custom MCP OSコマンド実行）
• ▸ NVD - CVE-2025-71327（登録API 認証欠落）
• ▸ FlowiseAI Advisory - GHSA-8vvx-qvq9-5948（CVE-2025-71338）
• ▸ VulnCheck - Flowise arbitrary file write to RCE via document store API
• ▸ FlowiseAI Advisory - GHSA-3gcm-f6qx-ff7p（CVE-2025-59528）
• ▸ NVD - CVE-2024-58351（overrideConfig）
• ▸ The Hacker News - Flowise under active exploitation
• ▸ Flowise リリース一覧（GitHub）
• ▸ CISA - Known Exploited Vulnerabilities Catalog