「Langflow」「Tomcat」など脆弱性3件の悪用に注意喚起 - 米当局

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Apache Tomcat」に関する脆弱性をはじめ、悪用されている3件の既知の脆弱性について注意を喚起した。

現地時間2026年8月4日、「悪用が確認された脆弱性カタログ（KEV）」に3件の脆弱性「CVE-2026-9198」「CVE-2026-34486」「CVE-2026-18556」を追加した。いずれも米行政機関の対策期限は同月7日としており、早急な対応を求めている。

「CVE-2026-9198」は、AIアプリの開発基盤である「Langflow」に判明したコードインジェクションの脆弱性。認証を必要とすることなく、APIを連鎖的に悪用してトークンを取得し、任意のコードを実行できる。

「CVE-2026-34486」は、ウェブアプリケーションサーバ「Apache Tomcat」に関する脆弱性。脆弱性を悪用することでクラスタノード間の通信を暗号化する「EncryptInterceptor」をバイパスさせることが可能となり、送受信されるデータが暗号化されないおそれがある。

「CVE-2026-18556」は、N-ableのIT運用管理製品「N-central」の脆弱性で、別経路やチャネルを利用して認証をバイパスすることが可能。

同脆弱性への修正が不完全なことに起因して生じた「CVE-2026-18577」についても悪用が確認されている。「悪用が確認された脆弱性カタログ（KEV）」へ前日3日に登録されており、対策が呼びかけられていた。

（Security NEXT - 2026/08/05 ）ツイート