CVE-2026-115885 LangGraph CLI 一時トークン漏洩リスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
LangGraph CLIの特定バージョン（0.4.15〜0.4.32）において、–verboseフラグを指定したdeployコマンド実行時にDockerログイン用の一時的なレジストリトークンが標準出力に漏洩する脆弱性が確認されました。CIログやターミナル録画にトークンが含まれている場合、12時間以内にアクセス可能な第三者がイメージのプッシュ・プルを可能にするリスクがあります。影響は–verboseを指定したローカルイメージビルドに限られ、リモートビルドは対象外です。運用環境で該当コマンドを使用している場合、ログの監視体制とCLIのバージョン確認が重要です。トークン単体ではデプロイメントの更新は不可能ですが、情報漏洩による悪用リスクを考慮し、0.4.32以降へのアップグレードを推奨します。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の存在は、私たちが「情報の安全」をどう定義すべきか問うているのではないだろうか？ログにトークンが残るという現実が、私たちの運用の倫理に何を示唆するだろう？
ええ、確かに。だがソクラテス、まずは現実の確認から始めましょう。あなたのチームは、CIログやターミナル録画に–verboseフラグの使用記録が残っていないか？それと、LangGraph CLIのバージョンを確認したか？0.4.32以降にアップグレードしているか？
なるほど。だが、なぜこのトークンが漏洩するのか？そのメカニズムは、私たちの「情報の扱い方」に誤りがあることを示しているのではないだろうか？
その通りです。しかし、現実的には、このトークンは12時間で無効になるという制限があります。それでも、ログの監視体制を強化し、変更管理の文書にこの脆弱性の影響を記録すべきです。また、このCLIのバージョンが運用環境で使われているかを再確認し、必要ならパッチ適用を検討する必要があります。
では、この脆弱性が「情報漏洩のリスク」を生む以上、私たちの倫理は「情報の最小限の公開」を原則にすべきではないか？
同意します。だが、現実では、ベンダーの公式情報（https://nvd.nist.gov/vuln/detail/CVE-2026-115885）を確認し、パッチ適用の手順を文書化する必要があります。また、dockerのログ出力設定を見直し、–verboseフラグの使用を制限する運用ポリシーを策定するのも重要でしょう。
では、もしトークンが漏洩した場合、私たちの倫理的責任はどこにあるだろう？
それは、監視体制の不足や、パッチ適用の遅れに責任があるでしょう。しかし、ユーモアを交えて言えるのは、このトークンが「12時間の命」を持つという点です。その間に第三者が動く可能性を常に意識し、運用に「時間の厳命」を刻むべきです。
関連キーワード: docker