Langflow-Schwachstelle verzeichnet 1.423 erfasste Exploit-Versuche
Die als CVE-2026-105740 erfasste Langflow-Schwachstelle wird aktiv angegriffen. Previdian hat seit dem 19. September 2026 insgesamt 1.423 Exploit-Versuche gegen die Sensoren seiner honeypot-Systeme aufgezeichnet. Bei honeypot-Systemen handelt es sich um absichtlich überwachte Systeme, die dazu dienen, bösartige Aktivitäten zu beobachten. Die Schwachstelle hat im Common Vulnerability Scoring System (CVSS) einen Wert von 9,9 und betrifft Langflow-Versionen vor 1.9.0.
Langflow ist eine Open-Source-Plattform zum Erstellen von Anwendungen für künstliche Intelligenz und automatisierten Agenten-Workflows. Die Muttergesellschaft DataStax wurde im Februar 2025 von IBM übernommen. Die Schwachstelle ermöglicht angemeldeten Benutzern remote code execution (RCE). Das bedeutet, dass eine Person, die sich bei Langflow anmelden kann, dessen Server zur Ausführung von Betriebssystembefehlen veranlassen kann. Administratorrechte innerhalb von Langflow sind nicht erforderlich, sodass ein gewöhnliches authentifiziertes Konto ausreicht.
Die Schwachstelle liegt in der Verarbeitung von MCP server-Konfigurationen, die den stdio transport verwenden, eine Methode zur Kommunikation mit einem Programm über dessen Standardein- und -ausgabe. Langflow akzeptiert einen vom Benutzer bereitgestellten Befehl und übergibt ihn ohne Validierung, Beschränkung auf zugelassene Programme oder Isolation vom zugrunde liegenden System an eine Bash command shell. Der Befehl wird ausgeführt, wenn die Liste der konfigurierten MCP server abgerufen wird. Die Konfiguration akzeptiert außerdem beliebige environment variables, also Einstellungen, die laufender Software zur Verfügung gestellt werden, einschließlich Änderungen an LD_PRELOAD oder PATH.
Ein Angreifer kann sich ohne Administratorrechte anmelden, eine präparierte HTTP-POST-Anfrage an "/api/v2/mcp/servers/{server_name}" senden und eine bösartige Anweisung in das command-Feld einfügen. Langflow speichert diese Anweisung, ohne sie zu prüfen. Eine anschließende HTTP-GET-Anfrage an "/api/v2/mcp/servers?action_count=true" lädt die Serverliste und führt dazu, dass der gespeicherte Befehl mit den Berechtigungen des Langflow-Prozesses ausgeführt wird. Ein Payload könnte eine reverse shell enthalten, die vom betroffenen Server eine Verbindung zurück zum Angreifer herstellt und dadurch Remote-Zugriff auf die Befehlszeile ermöglicht.
Langflow warnt davor, dass eine erfolgreiche Ausnutzung den Server kompromittieren, environment variables einschleusen, laterale Bewegungen in andere erreichbare Systeme unterstützen und eine dauerhafte backdoor installieren kann. Persistence ist möglich, weil der bösartige MCP server-Eintrag in den Projekteinstellungen erhalten bleibt und bei jedem Laden der Serverliste erneut ausgeführt werden kann. Langflow weist außerdem darauf hin, dass diese Konfigurationen bei einer flow review normalerweise nicht sichtbar sind – anders als custom component code, der im flow editor angezeigt wird.
Previdian zählte Aktivitäten von 27 eindeutigen Angreifer-IP-Adressen aus Belgien, China, Deutschland, Hongkong, Japan, Nigeria, den Philippinen, Russland, den Seychellen, Singapur, Südkorea, Taiwan, Tansania, den Vereinigten Staaten und Vietnam. Am 11. Oktober 2026 nahm die Aktivität zu; an diesem Tag wurden 333 Versuche aufgezeichnet. Zum Zeitpunkt der Berichterstattung waren am 15. Oktober weitere 66 Versuche beobachtet worden. Die Zahl gibt die Anfragen wieder, die Previdians Sensoren erreichten, und ist keine bestätigte Anzahl kompromittierter Produktivsysteme.
Da CVE-2026-105740 eine Authentifizierung voraussetzt, untersuchte Previdian, wie die beobachteten Angreifer Zugriff erlangten. In einem Ablauf prüfte ein Angreifer die installierte Langflow-Version und versuchte, den Endpoint "/api/v1/auto_login" zu verwenden. Auf dem honeypot war auto-login deaktiviert, was eine 403-Antwort auslöste. Anschließend konnte sich der Angreifer jedoch erfolgreich mit einem häufig verwendeten Benutzernamen und Passwort anmelden. Der daraus resultierende bearer token, ein Berechtigungsnachweis zur Autorisierung nachfolgender Anfragen, wurde sofort verwendet, um den verwundbaren MCP server-Endpoint aufzurufen.
Erfasste Payloads versuchten, environment variables und sensible Langflow-Einstellungen zu sammeln, darunter LANGFLOW_SECRET_KEY und LANGFLOW_SUPERUSER_PASSWORD, und diese anschließend über Port 18764 an 146.70.211[.]112 zu übertragen. Andere Befehle nutzten Docker, um auf das Host-Dateisystem zuzugreifen und "/etc/passwd" auszulesen. Previdian beobachtete außerdem grundlegende Prüfungen der Befehlsausführung mit id und whoami, durch die sich das Konto und die Berechtigungen ermitteln lassen, unter denen ein Prozess läuft.
Ein großer Teil der Aktivität ging von 192.255.229[.]92 aus. Daten von GreyNoise und Previdian bringen diese Adresse mit allgemeinen brute-force-Versuchen und Exploit-Versuchen im Zusammenhang mit der Flowise-Schwachstelle CVE-2026-69255 sowie den Langflow-Schwachstellen CVE-2026-55255, CVE-2026-9198 und CVE-2026-0768 in Verbindung. Die Angriffe auf mehrere Langflow-Schwachstellen deuten auf ein systematisches Scannen exponierter Deployments hin, doch das letztendliche Ziel des nicht identifizierten Akteurs bleibt unklar.
Administratoren sollten Langflow auf Version 1.9.0 oder ein späteres gepatchtes Release aktualisieren, auto-login deaktivieren, starke und eindeutige Kontopasswörter verwenden sowie Authentifizierungsprotokolle und Anfragen an den MCP server-Endpoint untersuchen. Falls ein sofortiges Update nicht möglich ist, empfiehlt Langflow, LANGFLOW_AUTO_LOGIN=false festzulegen, die Anwendung von nicht vertrauenswürdigen Netzwerken fernzuhalten und Konten auf vertrauenswürdige Benutzer zu beschränken. Langflow hat im vergangenen Monat außerdem CVE-2026-105697 behoben, eine weitere kritische, mit 9,9 bewertete command-injection-Schwachstelle in der MCP stdio server-Konfiguration. Unternehmen, die Unterstützung bei dieser Art von Systemsicherheitsarbeit benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen an.