Angreifer versuchen, eine kritische Command-Injection-Schwachstelle in Langflow auszunutzen, einer Open-Source-Plattform zum Erstellen von KI-Anwendungen und agentischen Workflows. Das geht aus Bericht auf Basis von Honeypot-Daten von Previdian hervor.
Die Aktivität konzentriert sich auf CVE-2026-105740, eine Schwachstelle mit CVSS 9,9, die jeden authentifizierten Langflow-Benutzer, auch einen Nicht-Administrator, Betriebssystembefehle mit den Rechten des Langflow-Prozesses ausführen lässt. Betroffen sind Versionen vor 1.9.0; Langflow hat das Problem in Version 1.9.0 behoben.
Laut The Hacker News verzeichnete Previdian ab dem 19. September 2026 über seine Sensoren 1.423 Ausnutzungsversuche. Die Versuche stammten von 27 eindeutigen Quell-IP-Adressen, die 15 Ländern zugeordnet waren. Die Zahlen geben die von den Honeypots erfassten Aktivitäten wieder, nicht erfolgreiche Kompromittierungen oder einzelne Opfer.
Die Aktivität nahm am 11. Oktober 2026 zu, als die Sensoren 333 Versuche registrierten. Bis zur Veröffentlichung des Berichts waren am 15. Oktober 2026 weitere 66 Versuche beobachtet worden.
Vom Benutzer kontrollierte MCP-Befehle erreichen bash
Die Sicherheitsmitteilung zu Langflow vom 10. September 2026 führt CVE-2026-105740 auf die Konfiguration von Model-Context-Protocol-Servern mit stdio-Transport zurück.
Ein authentifizierter Benutzer kann einen beliebigen command-Wert übermitteln über:
POST /api/v2/mcp/servers/{server_name}
Langflow übergibt diesen String ohne Allowlist, Sandbox oder sinnvolle Befehlsvalidierung an bash -c "exec {command}". Die vorhandene Prüfung sucht nur dann nach einer Installation von Node.js, wenn der Befehl npx enthält. Sie beschränkt weder Programmpfade noch Shell-Zeichen oder erlaubte Programme.
Die Ausführung wird ausgelöst, wenn Langflow die Serverliste abruft über:
GET /api/v2/mcp/servers?action_count=true
Die Konfiguration wird in den Projekteinstellungen gespeichert und kann jedes Mal erneut ausgeführt werden, wenn die Serverliste geladen wird. Langflow erklärte außerdem, dass diese MCP-Einträge bei der üblichen Flow-Prüfung nicht in gleicher Weise sichtbar sind wie benutzerdefinierter Komponentencode.
Dieselbe Konfiguration akzeptiert ein vom Benutzer kontrolliertes env-Wörterbuch, das in die Umgebung des Subprozesses übernommen wird. Unter Linux eröffnet das zusätzliche Angriffswege, etwa das Verändern von PATH oder das Einschleusen von LD_PRELOAD.
Eine erfolgreiche Ausnutzung kann Geheimnisse offenlegen, die dem Langflow-Prozess zur Verfügung stehen, Anwendungsdaten verändern, dauerhafte Befehlsausführung ermöglichen und unter Umständen den Übergang zu anderen erreichbaren Systemen unterstützen.
Die Honeypot-Abfolge setzte gültige Zugangsdaten voraus
Laut Previdian-CEO Ryan Dewhurst überprüften die beobachteten Akteure zunächst die Langflow-Version und riefen danach /api/v1/auto_login auf. Dieser Endpunkt gab auf dem Honeypot HTTP 403 zurück, weil die automatische Anmeldung deaktiviert war.
Die Angreifer meldeten sich anschließend mit einem gängigen Benutzernamen und Passwort an, erhielten ein Bearer-Token und nutzten es, um den verwundbaren MCP-Konfigurationsendpunkt zu erreichen. In dieser beobachteten Abfolge umging die Ausnutzung die Authentifizierung nicht. Der Zugriff wurde über funktionierende Zugangsdaten erlangt, nachdem die automatische Anmeldung fehlgeschlagen war.
Die erfassten Payloads versuchten,
- Umgebungsvariablen und Langflow-Einstellungen zu sammeln, darunter
LANGFLOW_SECRET_KEYundLANGFLOW_SUPERUSER_PASSWORD; - Daten an
146.70.211[.]112auf Port18764zu übertragen; - Docker-Befehle auszuführen, die auf das Dateisystem des Hosts zugreifen und
/etc/passwdlesen sollten; - Befehlsausführung mit Hilfsprogrammen wie
idundwhoamizu testen.
Diese Payloads wurden von Honeypots erfasst und zeigen die Absicht der Angreifer. Sie belegen nicht, dass Produktivsysteme kompromittiert wurden.
Eine verwandte MCP-Schwachstelle erhöht den nötigen Patch-Stand
Administratoren sollten außerdem CVE-2026-105697 berücksichtigen, eine weitere Command-Injection-Schwachstelle mit CVSS 9,9, die den MCP-stdio-Transport von Langflow vor Version 1.10.3 betrifft.
Auch diese Schwachstelle erlaubt es Benutzern, beliebige Befehle in einer MCP-Serverkonfiguration zu hinterlegen. Die Befehle werden ausgeführt, wenn Langflow Server auflistet, Tools lädt oder einen zugehörigen Flow ausführt. Bei der Standardeinstellung LANGFLOW_AUTO_LOGIN=true kann eine exponierte Instanz ohne Zugangsdaten über GET /api/v1/auto_login ein Token ausstellen. Ist die automatische Anmeldung deaktiviert, kann ein authentifizierter Nicht-Administrator die Schwachstelle trotzdem ausnutzen.
CVE-2026-105697 ist behoben in:
- Langflow 1.10.3
langflow-base0.10.3lfx1.10.3
CVE-2026-105740 selbst wurde in Langflow 1.9.0 behoben. Diese Version adressiert jedoch nicht die spätere Patch-Anforderung, die für CVE-2026-105697 dokumentiert ist. Betreiber, die ihre MCP-Exposition bewerten, sollten daher die installierten Versionen von Langflow und den zugehörigen Paketen prüfen, statt Version 1.9.0 als vollständige Lösung für diese Schwachstellenklasse zu betrachten.
Eine Quell-IP steht im Zusammenhang mit weiteren Langflow- und Flowise-Sondierungen
GreyNoise-Daten, die The Hacker News zitiert, ordnen 192.255.229[.]92 einem erheblichen Teil der beobachteten Aktivität zu, darunter das Auslesen von Umgebungsvariablen und generische Brute-Force-Versuche. Dieselbe Adresse wurde außerdem mit Versuchen in Verbindung gebracht, die mehrere weitere Schwachstellen betreffen:
- CVE-2026-9198, eine nicht authentifizierte Langflow-RCE-Kette, die Versionen 1.0.0 bis 1.10.0 betrifft und in 1.10.1 behoben wurde;
- CVE-2026-55255, eine Autorisierungsschwachstelle vor 1.9.1, die für authentifizierte Benutzer die Ausführung des Flows eines anderen Benutzers erlaubt, sofern dessen ID bekannt ist;
- CVE-2026-0768, eine nicht authentifizierte Code-Injection-Schwachstelle im Validate-Endpunkt von Langflow;
- CVE-2026-69255, eine Flowise-CSVAgent-Injection-Schwachstelle, die
flowiseundflowise-componentsbis einschließlich 3.1.2 betrifft.
Die Verknüpfung zeigt Aktivität von derselben Quelladresse, belegt aber nicht, dass alle Versuche zu einer einzigen Kampagne oder einem einzigen Akteur gehörten.
Zwei dieser Langflow-Schwachstellen sind im Katalog der bekannt ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt. CVE-2026-55255 wurde am 7. Juli 2026 aufgenommen, mit einer Frist für die Behebung durch Bundesbehörden bis zum 10. Juli 2026. CVE-2026-9198 wurde am 4. August 2026 aufgenommen, mit einer Frist bis zum 7. August 2026.
Für beide verlangt die CISA von den Behörden, Herstellerminderungen gemäß BOD 26-04 und deren Forensics Triage Requirements anzuwenden. Für Cloud-Dienste müssen Behörden die einschlägigen Vorgaben von BOD 26-04 befolgen oder die Nutzung einstellen, wenn keine Minderungen verfügbar sind.
Auch Flowise-Systeme brauchen ein Update
CVE-2026-69255 entsteht, weil die Komponente CSVAgent.ts von Flowise CSV-Daten, die ein Angreifer kontrolliert, direkt in Python-Code einfügt und diesen anschließend mit Pyodide ausführt. Die Validierung, die später auf den von einem LLM erzeugten Code angewendet wird, schützt diesen ursprünglichen Block nicht.
Ein authentifizierter Angreifer kann den generierten String verlassen und über die JavaScript-Brücke von Pyodide auf Funktionen von Node.js zugreifen. Dadurch kann er Betriebssystembefehle als root im Flowise-Container ausführen.
NVD ordnet dem Problem CVSS 8,8 zu. Die GitHub-Sicherheitsmitteilung zu Flowise vom 29. Juli 2026 nennt dagegen andere Schweregrade: CVSS 9,9 unter Version 3.1 und 9,2 unter Version 4.0. Der v4-Vektor der Mitteilung geht von keinen Berechtigungen aus, während die technische Beschreibung von einem authentifizierten Angreifer spricht.
Beide betroffenen npm-Pakete sind in Version 3.1.3 behoben. Als empfohlene Option („Best“) nennt die Mitteilung, Base64-Daten über pyodide.globals.set('base64_string', base64String) an Pyodide zu übergeben, statt Strings zu interpolieren. Die anderen Optionen sind die Validierung des Base64-Zeichensatzes oder das Escapen von Sonderzeichen vor der Interpolation.
Was Langflow-Administratoren tun sollten
Betreiber von Langflow sollten exponierte Instanzen erfassen und auf Versionen aktualisieren, die alle zutreffenden Schwachstellen beheben. Mindestens die dokumentierten Korrekturen sind:
| Schwachstelle | Betroffene Versionen | Behobene Version |
|---|---|---|
| CVE-2026-105740 | Vor Langflow 1.9.0 | Langflow 1.9.0 |
| CVE-2026-105697 | Vor Langflow 1.10.3 | Langflow 1.10.3, langflow-base 0.10.3, lfx 1.10.3 |
| CVE-2026-9198 | Langflow 1.0.0 bis 1.10.0 | Langflow 1.10.1 |
| CVE-2026-55255 | Vor Langflow 1.9.1 | Langflow 1.9.1 |
Wenn ein sofortiges Patchen nicht möglich ist, sollten Administratoren LANGFLOW_AUTO_LOGIN=false setzen, Langflow nicht direkt aus nicht vertrauenswürdigen Netzen erreichbar machen und Konten auf vertrauenswürdige Benutzer mit starken, eindeutigen Passwörtern beschränken.
Verteidiger sollten Authentifizierungsprotokolle, Anfragen an /api/v1/auto_login und Aktivität gegen /api/v2/mcp/servers/ prüfen. Gespeicherte MCP-Serverkonfigurationen verdienen ebenfalls eine Kontrolle, da ein bösartiger Eintrag wiederholt ausgeführt werden kann, wenn Langflow die Serverliste lädt. Verbindungen zu 146.70.211[.]112:18764 und Aktivität im Zusammenhang mit 192.255.229[.]92 können nützliche Ansatzpunkte für die Untersuchung liefern. Sie sollten jedoch im Kontext bewertet und nicht allein als Beleg für eine Kompromittierung betrachtet werden.
