米国のCISAが、Langflow と Trend Micro Apex One に関する2つの脆弱性を、KEV（Known Exploited Vulnerabilities）カタログに追加しました。
KEVはざっくり言うと、「机上の理論ではなく、現実に攻撃者が使っている脆弱性リスト」です。
このリストに入ると、ただ「更新しましょう」では済まず、特に政府機関ではいつまでに直すかがはっきり求められます。今回は、FCEB（米国の連邦民間行政機関）に対して、2026年6月4日までに対策を完了することが要求されています。
こういうニュースを見るたびに思うのですが、脆弱性は“存在する”だけならまだしも、悪用が始まった瞬間に重さが一段上がるんですよね。技術的な数字よりも、「もう攻撃で使われている」という事実の方が、現場にはずっと効きます。
ここで出てくる origin validation は、かんたんに言うと「この通信は本当に正しい相手から来たの？」を確認する仕組みです。
これが甘いと、別のサイトや悪意あるページから操作されても、サービス側がうっかり受け入れてしまうことがあります。
元記事によると、Obsidian Securityは2025年12月の時点で、この問題が単独ではなく、以下の3つの弱点が組み合わさって起きていると報告していました。
用語を一言でいうと、
つまり、入口の守りが複数箇所で弱く、そこを組み合わせて突破される、かなりイヤなタイプの問題です。
しかもこの脆弱性、単にLangflowが壊されるだけでは済みません。
Obsidian Securityは、ワークスペース内に保存された access token や API key が漏れる可能性もあると警告していました。これはかなり重要です。
なぜなら、API key や token が取られると、そのサービス単体ではなく、連携しているクラウドサービスやSaaSまで“連鎖的に”やられる可能性があるからです。
さらに元記事では、この脆弱性がイラン国家支援のハッキンググループ MuddyWater によって、ターゲットネットワークへの初期侵入に悪用されたとされています。
「初期アクセス」というのは、攻撃の最初の足がかりを取ることです。ここを取られると、そこから内部探索や権限拡大が始まります。
directory traversal は、かんたんに言うと「本来アクセスできないはずの場所に、ファイルパスをずらして入り込む」タイプの脆弱性です。
たとえば、../ のようなパス操作で、想定外のファイルやディレクトリに触れてしまうイメージです。
この脆弱性は on-premise version、つまり自分の組織内に設置して運用している版だけが対象です。
クラウド型ではなく、社内サーバーで管理している場合に注意が必要です。
Trend Microによると、少なくとも実際に悪用を試みた痕跡を1件確認したとのことです。
ただし、攻撃者が使うには条件があり、Apex One Serverへのアクセスに加えて、別の手段で管理者資格情報をすでに入手していることが必要だとしています。
ここは少し救いがある部分ですが、油断は禁物です。
「管理者権限を別で取られてから悪用される」というのは、裏を返せばすでに侵入された環境では致命傷になりやすいということでもあります。
KEVに入ると何が違うのか。
端的に言えば、**“優先して直すべき脆弱性”として公的に格上げされる**ということです。
世の中には脆弱性が山ほどあります。全部を一気に直すのは現実的ではありません。
だからこそ、「実際に攻撃で使われたもの」は最優先になります。これは現場目線でも非常に合理的です。
個人的には、KEVはただのリストというより、「今の脅威の温度感がわかるバロメーター」みたいなものだと思っています。
スキャンツールで“危険度高”と出るのも大事ですが、KEV入りはそれ以上に生々しい。もう実弾が飛んできているわけですから。
今回の件で気にするべきポイントは、単なる「更新してください」ではありません。実務的には、次のあたりが大事です。
最後の点は特に重要です。
FCEB向けの期限があるからといって、一般企業に無関係という意味ではありません。むしろ、攻撃者は政府機関だけを狙っているわけではないので、民間企業の方が無防備なこともあります。
今回のニュース、私が面白いと感じたのは、AI/自動化系の新しめのツールである Langflow と、定番のセキュリティ製品である Apex One が、同じ「実際に悪用された脆弱性」という文脈で並んでいることです。
これは、攻撃者が「派手な新技術」だけを狙っているわけではなく、業務で普通に使われる道具の弱点を淡々と突いてくるという現実をよく表していると思います。
しかも、どちらも攻撃の入り口として十分に現実的です。夢のある話ではありませんが、実に攻撃者らしい、いやらしい選び方です。
CISAがKEVに追加したのは、Langflowの CVE-2025-34291 と、Trend Micro Apex Oneの CVE-2026-34926 です。どちらも実際に悪用された証拠があるため、単なる注意喚起ではなく、急いで対処すべき案件になっています。
特にLangflow側は、任意コード実行やtoken/API keyの漏えいにつながりうる点がかなり重く、Trend Micro側もオンプレ環境での悪用が確認されています。
「自分たちはまだ大丈夫」と思いたくなる話ですが、こういう脆弱性は、気づいたときにはもう攻撃の足場になっていることがあるので厄介です。
参考: CISA Adds Exploited Langflow and Trend Micro Apex One Vulnerabilities to KEV
