Flowise RCE CVE-2025-59528 脆弱性まとめ｜CVSS 10.0・AI Agent Builder 12,000+公開インスタンスへの攻撃を徹底解説

CVE-2025-59528 は、オープンソースのAIエージェント構築プラットフォーム「Flowise」に存在する CVSS 10.0（最大深刻度）のリモートコード実行（RCE）脆弱性です。 攻撃者は特定のAPIエンドポイントへ細工したリクエストを送るだけでサーバー上の任意OSコマンドを実行でき、2026年4月から実地（in-the-wild）攻撃が観測されています。 修正版は Flowise 3.0.6 以降（推奨は 3.1.1 以上）で、報道時点でも 約12,000〜15,000台の公開インスタンス が未パッチのまま放置されていると報告されています。

本記事では、CVE-2025-59528 の概要、影響範囲、技術的な仕組み、実地攻撃の状況、そして「自社環境が安全かを30分以内に確認する手順」までを、GitHub Security Advisory・NVD・Flowiseの公式パッチコミット・VulnCheck／SonicWall／Cloud Security Alliance の一次分析を基に整理しました。

この記事でわかること

• CVE-2025-59528 が「CVSS 10.0」と評価された技術的な根拠
• 攻撃に「認証（APIトークン）」が必要か否かの正確な整理
• 自社のFlowiseが脆弱バージョンかを確認する具体的なコマンド
• パッチ以外に今すぐできる緩和策（公開停止・認証情報ローテーション等）
• 侵害された場合の痕跡（IoC）と監査ログの検索パターン
• MCP（Model Context Protocol）採用が進むAIエージェント全体の構造的なセキュリティ課題

この記事が想定する読者

• Flowiseをセルフホストで運用している開発者・SRE・情報システム担当者
• AIエージェント基盤の導入を検討中で、セキュリティ要件を整理したい企業
• MCPサーバー・LLMオーケストレーションツールのリスク全般を把握しておきたい情報セキュリティ担当者

今すぐやるべき3つのこと

Flowiseをセルフホストで運用している場合、以下を最優先で実施してください。

1. Flowise 3.1.1 以上へのアップグレード（最低でも 3.0.6）
2. インターネット直接公開の停止（リバースプロキシ・VPN・内部ネットワーク限定化）
3. APIキー・認証情報・環境変数の全面ローテーション（侵害されている前提で対応）

パッチ公開から半年以上が経過した 2026年4月7日に、脅威インテリジェンス企業 VulnCheck が実地攻撃を初検知しました。攻撃はJavaScriptの Function() コンストラクタ経由で任意コードを実行するもので、GitHub Security Advisory によれば悪用には有効なAPIトークンが必要とされています。ただし、Flowiseは初期設定で認証が無効・脆弱なケースが多く、インターネットに直接公開されているインスタンスは実質的に未認証同然で悪用され得ます。

Flowiseを直接運用していない場合でも、組織内の誰かが評価目的で立ち上げているケースは珍しくありません。社内ネットワーク全体で3000番台のポートにFlowiseが存在しないかをあわせて確認することを推奨します。

Flowiseとは何か

Flowise は、LangChainJSベースのオープンソース（Apache-2.0 系ライセンス）AIエージェント・ビジュアルビルダーです。ノードをドラッグ＆ドロップで接続するだけで、チャットボット・RAG（検索拡張生成）アプリ・マルチエージェントシステムを構築できます。開発元は FlowiseAI で、2026年時点では人事クラウド大手 Workday による買収が公式に告知されており、商用クラウド版も提供されています（買収完了状況やOSS版の今後への影響は本記事執筆時点で未確定）。

出典: Flowise 公式（FlowiseAI/Flowise GitHub）

主な特徴は次のとおりです。

• Agentflow — 複数エージェントを調整するマルチエージェント基盤
• Chatflow — ツール呼び出し・RAG対応チャットボット
• HITL（Human In The Loop） — 人的レビュー工程の組み込み
• API / SDK — REST API、埋め込みウィジェット、TypeScript / Python SDK
• 対応LLM・ベクトルDB — OpenAI、Anthropic、Pinecone、Qdrant 等100以上

インストールは npm install -g flowise → npx flowise start だけで完了するため、PoC（概念実証）用途で気軽に立ち上げられることが多く、そのまま本番や検証環境に残っているケースが今回の攻撃面を広げた一因になっています。Flowiseがどのカテゴリの製品なのかは AIエージェントとは で基礎から解説しています。

Flowiseの料金プラン（公式クラウド版）

※料金は本記事の主題ではないため簡潔に記載しています。最新の正確な料金は公式 flowiseai.com/pricing で確認してください。

本脆弱性の主な影響範囲は オープンソース版（セルフホスト／Docker／npm install） です。クラウド版（マネージド版）はベンダー側でパッチが適用される性質のものですが、公式の明示的な影響声明は現時点で確認できていないため、クラウド利用者は Flowise サポートに直接確認することを推奨します。記事内では一貫して「公開インスタンス＝自前で立てたものが危険」と区別します。

CVE-2025-59528 の概要（公式情報）

出典: GitHub Security Advisory GHSA-3gcm-f6qx-ff7p 公式

CVE-2025-59528 は、Flowiseの CustomMCP ノード内で、ユーザー入力が JavaScriptの Function() コンストラクタ経由で検証なしに実行される設計欠陥に起因するRCE脆弱性です。

CVSS 10.0 が意味すること

CVSSベーススコア10.0は、CVSS v3.1で評価可能な最大値です。次の条件がすべて揃っています。

• ネットワーク経由で攻撃可能（AV:N）
• 攻撃の複雑度が低い（AC:L）— 特別な条件が不要
• 必要な権限がない／極めて低い（PR:N）
• ユーザー操作が不要（UI:N）— クリックや承認を挟まない
• スコープが変更される（S:C）— 脆弱なコンポーネントを超えて影響が広がる
• 機密性・完全性・可用性すべて高影響（C:H / I:H / A:H）

加えて EPSS（Exploit Prediction Scoring System）が最上位クラスに位置しており、これは「実際に悪用される可能性が非常に高い」CVE群と同等の危険度を示します。EPSSは時点で変動するため、評価時には GitHub Advisory の最新値を確認してください。

「認証は必要か？」— 正確な整理

ここは情報源によって表現が割れているため、正確に整理します。

• GitHub Security Advisory（公式・一次情報）／SonicWall／BleepingComputer 等: 悪用には「有効なAPIトークンが必要（requires only an API token）」と記載。
• 一部の二次的なまとめ: 「未認証で実行可能」と表現するものもある。

結論として、少なくとも有効なAPIトークンがあれば悪用可能であり、これがCVSS上は「権限要件が事実上ない」と評価され10.0につながっています。一方で、Flowiseは初期設定で認証が無効・弱いケースが多く、インターネットに直接公開されたインスタンスでは実質的に未認証同然で悪用され得るというのが実態に即した理解です。「完全に未認証で誰でも攻撃できる」と断定はできませんが、公開＝極めて危険という結論は変わりません。

公式アドバイザリ

• GitHub Security Advisory GHSA-3gcm-f6qx-ff7p
• NVD: CVE-2025-59528

脆弱性の技術的な仕組み

本脆弱性の根本原因は、CustomMCP.ts の convertToValidJSONString 関数（262〜270行付近）にあります。ユーザーが送信したJSON風の文字列を Function('return ' + input)() という形式で実行しており、これは eval() と機能的に等価です。

攻撃経路

攻撃者は次のAPIエンドポイントに、細工したJSONをPOSTすることで任意コードを実行できます。

• エンドポイント: POST /api/v1/node-load-method/customMCP
• 認証: 有効なAPIトークンが前提（公開インスタンスでは実質的に突破され得る）
• 前提: ネットワーク到達性

処理の流れは次のとおりです。

1. 攻撃者が mcpServerConfig フィールドに悪意のあるJavaScriptを含むJSONを送信
2. テンプレート変数の置換処理を経るが、ここでサニタイズ（無害化）されない
3. convertToValidJSONString が文字列を Function() に渡してコンパイル・実行
4. process.mainModule.require() 経由で child_process（OSコマンド実行）や fs（ファイル操作）へフルランタイム権限でアクセス — 任意のOSコマンド実行が成立

攻撃ペイロードは、期待される戻り型を満たすためにIIFE（即時実行関数）をオブジェクトリテラルで包む形（例: ({x:(function(){...})()})）を取ります。GitHub Advisory には /tmp/RCE.txt を書き込む curl ベースのPoC（実証コード）が含まれており、任意コマンド実行が実証されています。

パッチの修正内容

Flowise 3.0.6 で適用されたパッチでは、危険な Function() をデータ専用パーサに置換しています。

// 脆弱な実装（3.0.5以前）
Function('return ' + mcpServerConfig)()

// 修正後（3.0.6以降）
JSON5.parse(mcpServerConfig)

Function() が「文字列をコードとして実行する」のに対し、JSON5.parse() は 入力をデータとして解釈するだけで実行しないため、コードインジェクションの経路が閉じられています。

なぜ Function() は危険なのか

eval() と並んで、JavaScriptの Function() コンストラクタは任意の文字列をコードとして実行する機能を持ちます。Node.jsサーバー上でユーザー入力を Function() に渡すと、攻撃者は require('child_process').execSync('...') のような一行で、サーバー上の任意のOSコマンドを実行できてしまいます。これは「RCE（Remote Code Execution）」の教科書的なパターンです。コード生成・自動実行系に共通するリスクは AIコーディング セキュリティ リスク でも整理しています。

影響を受けるバージョンと修正版

脆弱バージョン

• Flowise 2.2.7-patch.1 〜 3.0.5（3.0.5 以前の全バージョンが影響）

修正バージョン

• Flowise 3.0.6（2025年9月リリース） — 本CVEを直接修正
• Flowise 3.1.1 以上（推奨） — 関連する追加修正を含む

回避策の限界

「CustomMCPノードを使っていないから安全」ではありません。理由は以下です。

• CustomMCPノードの実装は ビルド時点で必ずコードベースに含まれる
• APIエンドポイントは機能を使っているかに関わらず到達可能
• APIキー認証を有効化しただけでは 完全な緩和にはならない（公式はパッチ適用を推奨）
• WAFでの防御も困難（正規リクエストと攻撃リクエストの構造が酷似）

現時点では、アップグレード以外に確実な緩和策は存在しないという前提で運用設計することを強く推奨します。

実地攻撃の状況（2026年4月時点）

公開から半年以上が経過した2026年4月、VulnCheck の Canary ネットワークが実地攻撃を初検知しました。以下は現時点で公表されている観測データです。

タイムライン

報道時点での最新安定版は 3.1.1 とされています。公開時には GitHub Releases で最新版を再確認してください。

攻撃元の特徴

• 単一のStarlink IPアドレスから攻撃が観測された（VulnCheck報告）
• 初期の攻撃活動は「限定的」と評価されているが、パッチ公開から6か月以上経過している点が最大の懸念（攻撃の拡大が警戒されている）
• VulnCheck は顧客向けに exploit サンプルと検知ルールを限定提供

観測・想定されている悪用パターン（SonicWall / Cloud Security Alliance）

• システム情報の偵察（id、whoami、hostname 等のコマンド実行）
• 環境変数から LLM APIキー・DBパスワード・クラウド認証情報を窃取
• netcat / bash によるリバースシェルの確立
• 盗取された認証情報を使った横展開（Lateral Movement）
• AIモデル設定・学習データ・会話ログ・プロンプトの流出
• LLM APIキー悪用によるコスト流出・悪質な生成物の作成

AI基盤ならではの被害として、LLM APIキーが流出するとクラウド課金が短時間で膨張するリスクもあります。単なる「サーバー侵害」ではなく、事業影響まで含めた対応が必要です。生成AI共通のリスクは 生成AI セキュリティ リスク もあわせて参照してください。

IPS/WAF検知

• SonicWall IPSシグネチャ 21519 / 21918 で検出・ブロック対応

Flowiseは過去にも狙われている — セキュリティ傾向

CVE-2025-59528 は単発の事故ではありません。Flowiseはここ数年、複数の重大脆弱性で攻撃対象になってきました。

※各CVEの正確な詳細は対象バージョン・影響範囲が異なります。個別対応時は各CVEの公式アドバイザリを確認してください。

ここから読み取れる傾向は、「導入が容易で公開されやすい」「外部入力を扱うノードが多い」というFlowiseの性質が、継続的に攻撃面を生み出しているということです。Flowiseを運用するなら、単発のパッチ適用で終わらせず、継続的な脆弱性監視（バージョン追従）を運用プロセスに組み込むことが前提になります。AIエージェント基盤の守り方全般は AIエージェント セキュリティ 対策 で体系的に解説しています。

自社環境が脆弱か30分以内に確認する手順

以下の順番で確認してください。影響のあるバージョンを運用している可能性がある全組織で推奨します。

1. インストールされたFlowiseのバージョン確認

# グローバルインストールの場合
npm list -g flowise

# プロジェクト内インストールの場合
npm list flowise

# 起動中のバージョン確認（APIエンドポイント）
curl -s http://<your-host>:3000/api/v1/version

3.0.5 以下なら脆弱です。直ちにアップグレード手順に進んでください。

2. 公開状況の確認

# 外部から3000番ポートが見えていないか
curl -I http://<your-public-ip>:3000/
# 応答が返ってくる場合、インターネットに公開されている

SHODAN / Censys などの外部スキャンサービスで、自組織のIPレンジに Flowise らしきバナー（Flowise node Express）が出ていないかの確認も有効です。

3. アクセスログの監査

2025年9月以降のログから、以下のパターンを検索してください。

# 異常なPOSTリクエストの抽出
grep -E "POST.*/api/v1/node-load-method/customMCP" access.log

# ペイロード内の危険キーワード検知
grep -Ei "process\.mainModule|child_process|execSync|\brequire\b|reverse.*shell" application.log

# Function() 経由の実行痕跡
grep -E "Function\(.*return" application.log

1件でもヒットした場合、すでに侵害されている前提でインシデントレスポンスに移行してください。

4. 侵害痕跡（IoC）の確認

• /tmp 配下に不審なファイル（RCE.txt、.sh、.bin など）がないか
• crontab -l に覚えのないスケジュールジョブがないか
• /etc/passwd に不明なユーザーが追加されていないか
• 環境変数 .env ファイルのAPIキーが外部で使われた形跡がないか（各LLMプロバイダの使用量監視）
• 不審な送信方向の通信（外部IPへの長時間のTCP接続）がないか

今すぐ実施すべき対策（優先度順）

優先度1：パッチ適用

# npmでのアップグレード
npm install -g flowise@latest
# または明示的に
npm install -g flowise@3.1.1

# Dockerの場合
docker pull flowiseai/flowise:latest
docker compose pull && docker compose up -d

アップグレード後、必ず curl http://localhost:3000/api/v1/version で実際に 3.1.1 以上が動作していることを確認してください。

優先度2：公開の停止

• インターネット直接公開（3000番ポートのグローバル公開）を停止
• リバースプロキシ（Nginx / Cloudflare / AWS ALB）経由に統一
• 可能なら VPN / 内部ネットワーク限定アクセスに変更
• Cloud Run / Fargate 等で運用する場合は IAM 認証を必須化

優先度3：認証情報の全面ローテーション

2025年9月以降にアクセスログで不審な痕跡がなくとも、念のため以下をすべて再発行することを推奨します。

• Flowise 内の API Key / Bearer Token
• Flowise から呼び出している LLM プロバイダ（OpenAI / Anthropic / Google 等）のAPIキー
• ベクトルDB（Pinecone / Qdrant / Weaviate 等）のAPIキー
• データソース（DB / SaaS）の認証情報
• Flowiseサーバー自体のSSHキー・OSユーザーパスワード

優先度4：継続監視

• /api/v1/node-load-method/ 配下のPOSTアクセスを SIEM で継続監視
• SonicWall IPS シグネチャ 21519 / 21918 を活用（WAF/IPS利用時）
• 脆弱性管理プログラム（SBOM管理含む）にFlowiseを登録

MCPエコシステム全体の構造的リスク

Cloud Security Alliance は、「CVE-2025-59528 はFlowise固有の問題ではなく、MCPサーバー設定が実行可能形式で受け入れられてしまうAIエージェント生態系全体の新たな攻撃面である」と指摘しています。

なぜMCP採用の拡大がリスクを高めるか

MCP（Model Context Protocol） は、LLMと外部ツール・データソースを安全に接続するための標準プロトコルとして急速に普及しました。MCPサーバーの設定は「どのコマンドを、どの引数で起動するか」という実行可能な指示を含むことが多く、ここに信頼できない入力が混入すると、そのまま任意コード実行につながります。

同様のリスクは、MCPを採用しているビジュアルAIエージェントビルダー全般（Dify・LangFlow・n8n など）に波及する可能性があります。本CVEはその最初の大規模実例として位置付けるのが妥当です。Flowise以外の選択肢を比較検討する場合は AIエージェントおすすめ も参考になります。

実装観点での教訓

• MCPサーバー設定を「データ」ではなく「コード」として扱う実装は全て危険
• ユーザー入力は常に JSON5.parse 等のデータパース関数で扱う
• eval() / Function() / vm.runInThisContext の類はユーザー入力に触れさせない
• OSコマンドが実行可能な環境では、プロセス権限の最小化（非rootユーザー・読み取り専用ファイルシステム・seccomp）を併用

なお、こうしたAI基盤の侵害は「守る側」にとっても新たなテーマです。AIを活用したセキュリティ運用は サイバーセキュリティ×AI活用 で、AIツール由来の情報流出事例は Copilot Cowork ファイル流出脆弱性まとめ でそれぞれ整理しています。

こんな組織は特に要注意

Flowiseは導入が容易なため、IT部門が把握していないインスタンスが組織内に存在している可能性があります。以下に該当する組織は、棚卸しを最優先で実施してください。

一方、以下のようなケースでは今回のCVE単体の緊急性は相対的に低い可能性があります。

• Flowiseを完全に内部ネットワーク限定で運用しており、信頼できるユーザーしか到達できない
• MCP機能を使わない前提で固定バージョンを運用しており、かつ自動アップデートの仕組みがある
• 商用クラウド版（マネージド）のみを利用しており、ベンダー側の通知を受けられている

ただし、「今すぐ侵害されていない」ことと「対策不要」は別問題です。現在未パッチで運用しているなら、本番・検証を問わずアップグレードを実施してください。

FAQ

Q1. APIキー認証を有効化していれば攻撃されない？

完全には安全と言えません。 GitHub Advisory によれば悪用には有効なAPIトークンが必要とされますが、公式は「APIキー認証は完全な緩和ではない」としています。APIキー未設定のインスタンスは実質無認証で悪用され、設定済みでもトークン漏えいや内部からの到達で悪用され得ます。パッチ適用が唯一の確実な対策です。

Q2. CustomMCPノードを使っていないのに影響を受ける？

はい。 CustomMCPノードを使用していなくても、コード自体がビルドに含まれているため、該当APIエンドポイントは到達可能です。機能利用の有無ではなく、バージョン番号で判断してください。

Q3. 3.0.6 と 3.1.1、どちらにアップグレードすべき？

原則として最新の 3.1.1 以上を推奨します。 3.0.6 は本CVEを直接修正しますが、3.1.1 以上には関連する追加修正が含まれるとされています。サポート期間・セキュリティ更新頻度の観点からも最新版が有利です。

Q4. クラウド版（Flowise Cloud）は影響を受ける？

公式の明示的な声明は現時点で確認できていません。 一般にマネージド版はベンダー側でパッチ適用されますが、念のため Flowise サポートに直接問い合わせて確認することを推奨します。オンプレ・セルフホスト版は確実に影響を受けます。

Q5. 既に侵害されていた場合、法的な報告義務はある？

個人情報が関与している場合、日本の個人情報保護法では「漏えい等の報告義務」が発生する可能性があります。EU利用者のデータを扱う場合は GDPR、米国カリフォルニア州は CCPA 等の各地域法令も確認が必要です。不確実な場合は法務・プライバシー責任者と IPA / JPCERT/CC への相談を推奨します。

Q6. 脆弱性スキャナで検知できる？

検知可能です。 バージョン検知ベースのスキャナ（Nessus、Qualys、Trivy、Grype 等）は既にCVE-2025-59528をカバーしています。社内の脆弱性管理プログラムに Flowise のSBOMが登録されているか確認してください。

Q7. パッチを当てたが、既に侵害されていたら？

パッチ適用はあくまで「今後の侵入を防ぐ」措置で、過去の侵害は消えません。 侵害が疑われる場合は、IoC（侵害痕跡）の確認を実施したうえで、全認証情報のローテーション・サーバーの再構築（クリーンインストール）・ログ保全をセットで行ってください。リバースシェルやcronによる永続化が残っていると、パッチ後も再侵入されます。

Q8. 他のAIエージェントビルダー（Dify、LangFlow など）も危険？

同種の設計リスクは理論上存在し得ます。 ただし、同一CVEは他製品には適用されません。各製品のセキュリティアドバイザリを定期確認し、MCPサーバー設定の入力検証がどう実装されているかを確認することを推奨します。

まとめ

CVE-2025-59528 は、AIエージェント領域で初めて本格的な実地攻撃が観測された CVSS 10.0 のRCE脆弱性です。Flowise 3.1.1 以上への即時アップグレードが唯一の確実な対策であり、加えて「インターネット直接公開の停止」と「認証情報の全面ローテーション」を今日中に実施することを強く推奨します。

本CVEは「パッチ公開から実地攻撃まで半年以上のタイムラグが発生した事例」でもあります。CVEが古いほど攻撃ツールキットが成熟し、悪用ハードルが下がるという基本原則を再確認する機会としても重要です。AIエージェント基盤はLLM APIキー・個人情報・社内ドキュメントと接続されるため、侵害時の影響範囲が従来のWebアプリよりも広いことも忘れてはいけません。

確認手順とチェックリストを使って、まず「自社に影響があるか」を早期に判断し、該当する場合は速やかにパッチ適用を完了してください。

次に読むべき関連記事

• MCPとは（Model Context Protocol） — 本CVEの背景となる標準プロトコルの全体像
• AIエージェントとは — Flowiseが属するカテゴリの基礎解説
• AIエージェント セキュリティ 対策 — AIエージェント運用全般のセキュリティ設計
• 生成AI セキュリティ リスク — LLM/生成AIに共通するリスクと対策
• AIコーディング セキュリティ リスク — コード生成・自動実行系の固有リスク

参考資料（一次情報）

• GitHub Security Advisory GHSA-3gcm-f6qx-ff7p
• NVD: CVE-2025-59528
• Flowise公式サイト
• Flowise GitHub リポジトリ
• SonicWall: FlowiseAI Custom MCP Node Remote Code Execution
• Cloud Security Alliance: Flowise MCP RCE Exploitation
• The Hacker News: Flowise AI Agent Builder Under Active Attack
• BleepingComputer: Max Severity Flowise RCE Vulnerability Now Exploited