Langflow unter Beschuss: Eine RCE-Schwachstelle legt OpenAI- und AWS-Schlüssel sowie Root-Zugangsdaten offen

Angreifer nutzen CVE-2026-0768 aus, eine kritische Schwachstelle in Langflow, über die sich ohne Authentifizierung remote Python-Code ausführen lässt. Die Angriffe zielen vor allem auf Geheimnisse in der Umgebung ab: OpenAI-API-Schlüssel, AWS-Zugangsdaten, Administrations-Token und weitere Daten, die eine Ausweitung der Kompromittierung ermöglichen können.

Die Meldung wurde am 1. September 2026 veröffentlicht. VulnCheck entdeckte die Aktivitäten über Honeypots im Vereinigten Königreich und registrierte zunächst mindestens 50 Angriffsversuche an einem nicht näher datierten Wochenende. Die Sicherheitsforscherin Caitlin Condon berichtete später von insgesamt 360 beobachteten Angriffen.

Langflows Validator führt vom Angreifer kontrollierten Code aus

Langflow ist ein auf Python basierendes Open-Source-Framework zur Entwicklung von Anwendungen künstlicher Intelligenz über eine Low-Code-Oberfläche. Es ermöglicht, Sprachmodelle, Prompts, Datenbanken, APIs und weitere Werkzeuge zu verknüpfen, um Agenten, Chatbots und RAG-Systeme zu erstellen.

Die Schwachstelle betrifft den Editor für benutzerdefinierte Komponenten und insbesondere den Endpunkt zur Validierung des Codes. Der vom Benutzer kontrollierbare Parameter code wird vor seiner Verwendung zur Ausführung von Python-Code nicht ordnungsgemäß überprüft.

Ein Angreifer kann daher eine speziell präparierte Anfrage an den Endpunkt validate senden und beliebige Befehle ausführen lassen. Dafür sind weder Zugangsdaten noch Interaktionen eines legitimen Benutzers erforderlich.

Der Code wird außerdem im Kontext des Benutzers root ausgeführt. Dadurch wird aus dem reinen Zugriff auf die Anwendung eine potenziell vollständige Kompromittierung des Hosts oder Containers, auf dem Langflow läuft.

CVE-2026-0768 ist als CWE-94 klassifiziert, also als unsachgemäße Codegenerierung mit anschließender Code-Injection. Die Kennung der Zero Day Initiative lautet ZDI-CAN-27322, der zugehörige Advisory ZDI-26-034.

Der von der CNA Zero Day Initiative angegebene Vektor lautet:

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Der zugehörige Score beträgt 9,8 von 10. NVD hat allerdings noch keine eigene numerische Bewertung veröffentlicht: In der entsprechenden Datenbank wird der NVD-Basisscore mit N/A angegeben.

Betroffene Versionen und Aktualisierung auf 1.11.6

Der Umfang der betroffenen Versionen ist nicht vollständig einheitlich dokumentiert. NVD nennt in seiner Tabelle Langflow 1.4.2, während andere Berichte auch Versionen vor 1.4.2 einschließen.

Um eine zu enge Auslegung zu vermeiden, sollten Administratoren nicht nur prüfen, ob genau Release 1.4.2 installiert ist. Empfohlen wird die direkte Aktualisierung auf Langflow 1.11.6, die als Version gilt, in der alle bekannten Schwachstellen des Produkts behoben sind.

CVE-2026-0768 ist derzeit nicht im Katalog der Known Exploited Vulnerabilities (KEV) der CISA aufgeführt. Daher gibt es für diese CVE weder ein Aufnahmedatum in den Katalog noch eine spezifische Frist für US-Bundesbehörden.

Das Fehlen im KEV-Katalog bedeutet jedoch nicht, dass die Schwachstelle nicht ausgenutzt wird. In diesem Fall wurde die Ausnutzung direkt über Honeypots beobachtet, obwohl bislang keine öffentlichen Proofs of Concept für CVE-2026-0768 bekannt sind.

Der Datenverkehr stammte überwiegend aus Russland. Dieses Merkmal erlaubt jedoch keine eindeutige Zuordnung der Kampagne. Eine konkrete Gruppe wurde nicht identifiziert; die Verbindungen könnten über kompromittierte Server, Proxys oder von Angreifern angemietete Infrastruktur erfolgt sein.

Angreifer suchen nach Langflow-, AWS- und OpenAI-Geheimnissen

Nach der erfolgreichen Codeausführung führen die Angreifer eine Erkundung des Hosts durch und lesen Umgebungsvariablen aus. Diese Strategie ist bei KI-Anwendungen besonders wirksam, da sie Geheimnisse häufig direkt über Laufzeitkonfigurationen, .env-Dateien oder Orchestrierungssysteme erhalten.

Zu den gesuchten Elementen gehören:

• Variablen wie LANGFLOW_SUPERUSER;
• Variablen mit dem Präfix OPENAI_API*;
• AWS_ACCESS*-Zugangsdaten;
• AWS_SECRET*-Geheimnisse;
• die Datei /root/.cache/langflow/secret_key;
• Inhalte oder Erreichbarkeit des Verzeichnisses .ssh;
• Größe und Verfügbarkeit von .bash_history.

Der Diebstahl eines OpenAI-Schlüssels kann betrügerische API-Nutzung, den Zugriff auf mit dem Konto verbundene Ressourcen oder Abfragen auf Kosten des Opfers ermöglichen. Die konkreten Folgen hängen von den Berechtigungen und den mit dem Schlüssel verknüpften Diensten ab.

AWS-Zugangsdaten können noch weitreichendere Auswirkungen haben. Wenn sie mit überprivilegierten IAM-Rollen verbunden sind, können sie den Zugriff auf Speicher, Datenbanken, Workloads, Secret Manager und Recheninfrastruktur ermöglichen.

Auch Langflow-Superuser-Token sind sensibel. Angreifer könnten sie verwenden, um Workflows zu verändern, Konfigurationen auszulesen, Komponenten zu manipulieren oder weitere Zugänge vorzubereiten.

Offengelegte Schlüssel sollten als kompromittiert gelten, selbst wenn die Logs keine unmittelbare Nutzung erkennen lassen. Sie könnten gespeichert und später über andere Infrastrukturen wiederverwendet werden.

So lässt sich eine mögliche Kompromittierung untersuchen

Die Aktualisierung schließt die Schwachstelle, beseitigt jedoch keine möglicherweise bereits erlangten Zugriffe. Bei einer exponierten Instanz, insbesondere wenn sie aus dem Internet erreichbar ist, sollte das Patchen durch Maßnahmen der Incident Response ergänzt werden.

In den Anwendungs- und Reverse-Proxy-Logs sollte nach ungewöhnlichen Anfragen an Validierungsendpunkte gesucht werden, insbesondere nach den Parametern code und exec_globals. Relevant sind außerdem Payloads mit Python-Anweisungen, Shell-Aufrufen, Dateisystemzugriffen oder der Auflistung von Umgebungsvariablen.

Auf dem System sollte Folgendes überprüft werden:

• unerwartete Zugriffe auf /root/.cache/langflow/secret_key;
• Zugriffe auf .ssh und .bash_history;
• vom Langflow-Dienst gestartete Python- oder Shell-Prozesse;
• Kindprozesse, die nicht zum normalen Betrieb gehören;
• neu angelegte Benutzer, SSH-Schlüssel, Cronjobs oder andere Persistenzmechanismen;
• in unerwarteten Pfaden erstellte oder veränderte Dateien;
• ausgehende Verbindungen zu unbekannten Zielen;
• Änderungen an Containern, Images und persistenten Volumes.

Auch externe Dienste müssen überprüft werden. AWS-Logs sollten auf Authentifizierungen von ungewöhnlichen IP-Adressen, aus unerwarteten Regionen oder mit auffälligen User-Agents sowie auf IAM-Änderungen und ungewöhnliche Datenzugriffe untersucht werden. Bei OpenAI sollten Nutzung, Verbrauch und Abrechnung der auf der Instanz vorhandenen Schlüssel kontrolliert werden.

Patchen, isolieren und alle Zugangsdaten vollständig rotieren

Priorität hat die Aktualisierung von Langflow auf Version 1.11.6. Ist dies nicht sofort möglich, sollte die Instanz aus dem öffentlichen Netz genommen oder durch Firewall-Regeln, Security Groups und Kontrollen am Reverse Proxy geschützt werden.

Validierungs-, automatisierte Authentifizierungs-, Upload- und Flow-Verwaltungsendpunkte sollten aus nicht vertrauenswürdigen Netzwerken nicht direkt erreichbar sein. Diese Einschränkung reduziert die Angriffsfläche, ersetzt jedoch nicht die Aktualisierung.

Nach einer möglichen Ausnutzung sollten mindestens folgende Zugangsdaten und Geheimnisse rotiert werden:

1. AWS-Schlüssel und -Secrets;
2. OpenAI-API-Schlüssel;
3. Langflow-Superuser-Zugangsdaten und -Token;
4. lokale Anwendungsschlüssel;
5. SSH-Schlüssel, auf die der Prozess zugreifen kann;
6. weitere Token in Umgebungsvariablen oder Konfigurationsdateien.

Außerdem sollten die IAM-Berechtigungen überprüft und nach dem Prinzip der geringsten Privilegien angepasst werden. Kann eine Instanz weder aktualisiert noch ausreichend isoliert werden, ist es am sichersten, sie außer Betrieb zu nehmen.

Eine Reihe bereits ausgenutzter Schwachstellen in Langflow

CVE-2026-0768 folgt auf zahlreiche Langflow-Schwachstellen, die in den KEV-Katalog der CISA aufgenommen wurden.

CVE-2026-33017, eine RCE im Endpunkt zum Erstellen öffentlicher Flows, befindet sich seit dem 25.03.2026 im KEV-Katalog; die Frist für US-Bundesbehörden lief am 08.04.2026 ab. Die Schwachstelle betrifft langflow < 1.8.2 und ermöglicht es, in von Angreifern kontrollierte Nodes eingebetteten Python-Code an exec() zu übergeben.

CVE-2026-55255 wurde am 07.07.2026 in den KEV-Katalog aufgenommen; die Behebung war bis zum 10.07.2026 vorgeschrieben. Dabei handelt es sich um eine IDOR-Schwachstelle, die in Version 1.9.1 behoben wurde und es einem authentifizierten Benutzer ermöglichte, Flows anderer Konten auszuführen.

CVE-2026-0770, seit dem 21.07.2026 im KEV-Katalog mit einer Frist bis zum 24.07.2026, nutzt den Parameter exec_globals des Endpunkts validate aus, um eine Remote-Code-Ausführung als root zu erreichen. Betroffen sind die Versionen langflow <= 1.7.3.

CVE-2026-9198 wurde am 04.08.2026 in den KEV-Katalog aufgenommen; die Frist endete am 07.08.2026. Die Angriffskette kombiniert die Ausgabe von SUPERUSER-Token über /api/v1/auto_login mit der Codeausführung über /api/v1/validate/code und betrifft langflow < 1.10.1.

Im Katalog befindet sich außerdem CVE-2025-3248, die am 05.05.2025 mit einer Frist bis zum 26.05.2025 aufgenommen wurde und nachweislich in Ransomware-Kampagnen eingesetzt worden ist.

Diese Abfolge verdeutlicht das konkrete Betriebsrisiko exponierter Langflow-Installationen. Das bloße Einspielen eines Patches reicht nicht aus, wenn eine Root-RCE bereits ausgenutzt wurde: Erforderlich sind die Rotation der Geheimnisse, eine forensische Triage und die Überprüfung der gesamten verbundenen Infrastruktur.