CVE-2026-73486 Flowiseのコードインジェクション脆弱性で認証済み攻撃者がPython任意実行可能 AI Security対策ガイド

結論

• 危険度: 情報なし
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-08-13 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-73486はFlowiseというAIフレームワークのCSV Agentノードで発生する脆弱性です。認証済みの攻撃者がPythonコードを自由に実行でき、LLMゲートウェイ運用者にとって重大なリスクをもたらします。

やさしく説明すると

この脆弱性は、立入禁止のはずの場所に攻撃者が「合鍵」を使って侵入できるようなものです。FlowiseのCSV Agentにあるデータ読み込みの仕組みが狙われています。仕組みは、不完全な検査でコードの悪意を見逃すため、攻撃者は外部から悪いPythonコードを送り込み実行できます。これは会社の裏口の鍵が壊れているような状態です。

技術的な原因

この問題はCWE-94「コードインジェクション（Code Injection）」に分類されます。FlowiseのCSV Agentノードのパラメータ customReadCSV で認証後の攻撃者が任意のPythonコードを実行できます。検証には静的な正規表現（regex）によるブロックリストを用いていますが、難読化技術で回避可能です。そのため、サンドボックス外のpyodide環境で全システムアクセス権限のコードが動きます。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）の漏洩につながる
• LLMのコンテキストデータ（顧客情報やモデル情報）の窃取リスク
• プロンプトインジェクション経由でAgentの乗っ取り・悪用
• モデルやRAG（リトリーブ・アンド・ジェネレート）用データの改ざん
• 不正コード実行によるAI環境全体の侵害
• バイブコーダー開発者が利用するCursorやClineなどAIコーディングツール経由でのローカルファイル漏洩・コード実行
• .envファイルや認証情報の漏洩による横展開

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSSスコアは未公開。ただしGitHub Advisory Databaseでは重大なコードインジェクション（CWE-94）としてCritical指定
• EPSSスコアは公開されていない
• ランサムウェアによる悪用観測は確認されていない
• 公開されているPoC（攻撃コード）は現時点で存在しない
• 攻撃条件は認証済みユーザーが必要。つまり認証バイパスを別途突破しないと悪用できない
• 検証ロジックに回避可能な静的正規表現を使っているため回避の難易度は相応にある

誰が動くべきか

• LLM Gateway運用チーム（Flowiseを使うLiteLLM/OpenRouter等）
• Agentフレームワーク開発者や運用者（LangChain, AutoGen等）
• RAGパイプライン保守者（CSV Agentノードを利用する運用）
• バイブコーダー開発者（Cursor、Cline、Copilotなどを使う開発者）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python（pip）

pip show flowise

出力例:

Name: flowise
Version: 3.1.2
Summary: AI Agent Framework
...

判定: Versionが < 3.1.3 なら脆弱。3.1.3以降なら修正済み。

Python（pip list + grep）

pip list | grep flowise

出力例:

flowise            3.1.0

判定: < 3.1.3で脆弱。3.1.3以上なら安全。

設定確認

この脆弱性は設定依存せず、Flowiseの customReadCSV パラメータがある全てのバージョン<3.1.3で影響を受けます。設定変更による回避策はありません。

Nucleiテンプレートでの検出

本CVE向けの公開Nucleiテンプレートは現在提供されていません。検出はバージョン確認が実務最優先です。

STEP 4: 修正を適用する

パッチ適用

Python（pip）

pip install --upgrade flowise

出力例:

Successfully installed flowise-3.1.3

判定: バージョンが 3.1.3 以上になれば修正完了

注意: パッチ適用前に必ず設定ファイルやデータのバックアップを取ってください。ステージング環境で動作確認を推奨します。特にAI GatewayやAgentを本番運用している場合はダウンタイム計画を十分検討してください。

パッチ即時適用ができない場合の暫定対応

Flowiseの公式から暫定的な対応策は特段示されていません。一般的には該当機能の利用制限、認証・アクセス制御の強化、ネットワーク隔離が考えられますが、本質的対策はアップデート適用以外にありません。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Python（pip）

pip show flowise

出力例:

Name: flowise
Version: 3.1.3
Summary: AI Agent Framework
...

判定: バージョンが 3.1.3 以上なら問題なし

追加で確認すべきこと

修正後は不審なアクセスやログの異常を監視してください。Nucleiテンプレートがないため、検知用ツールのアップデートも確認しましょう。

補足: 悪用観測状況

現時点でこのCVEに関連する悪用は報告されていません。公開されたPoCもなく、GitHub Advisory DatabaseでCritical評価があるものの実際の攻撃例は未観測です。ランサムウェア等による悪用も不明です。

補足: CVSSメトリクス詳細

• AV（攻撃元の場所）: 不明（おそらくネットワーク）
• AC（攻撃の困難さ）: 不明
• PR（攻撃者の権限）: 認証済みユーザーが必要
• UI（ユーザー操作）: 不要
• C（機密性への影響）: 高（機密情報漏洩）
• I（完全性への影響）: 高（コード実行で改ざん可能）
• A（可用性への影響）: 高（サービス停止もありうる）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自社環境のFlowiseバージョンを確認し、3.1.3未満ならSTEP 4のアップデートを実施してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、認証要件の強化や該当Agentノードの利用制限、ネットワーク隔離などでリスク軽減を検討してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式のIOCは公開されていません。ログ監視で不審なPythonコード実行や不自然なアクセスを重点的に調査してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは技術的な深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両者を確認することで対応の優先度判断が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じくCWE-94コードインジェクションに分類される脆弱性は多数存在します。特にAgentやAI Gateway関連のノードで入力検証不備によるコード実行リスクが類似例です。

参考文献

• NVD公式
• GitHub Advisory Database
• Flowise GitHub Security Advisory
• VulnCheckレポート

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• コードインジェクション に関するCVE・脆弱性記事一覧
• AIフレームワーク に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧