Kritische Langflow-Schwachstelle unter Angriff: Was muss gepatcht werden?

Eine kritische Schwachstelle in Langflow bleibt trotz der Veröffentlichung von Sicherheitsupdates unter Angriff.

Das Sicherheitsunternehmen Previdian verzeichnete bis zum 19. Oktober 2026 Ausnutzungsversuche gegen CVE-2026-105740. Die Schwachstelle zur Remotecodeausführung (RCE) weist einen CVSS-Schweregrad von 9,9 auf und ermöglicht authentifizierten Benutzern, Betriebssystembefehle auf verwundbaren Servern auszuführen.

Organisationen, die Langflow zum Erstellen von KI-Agenten und Workflows einsetzen, sind möglicherweise der Offenlegung von Anmeldedaten für Anwendungen und verbundene Systeme ausgesetzt. Version 1.9.0 behob die ursprüngliche Schwachstelle, doch eine damit verbundene Command-Injection-Schwachstelle erforderte in Version 1.10.3 zusätzliche Schutzmaßnahmen.

Langflow-Angriffe zielen auf die Ausführung von MCP-Befehlen

Previdians Telemetrie zu Ausnutzungsversuchen dokumentiert bösartige Anfragen, die auf die Schwachstelle abzielen. Die Ergebnisse beschreiben beobachtete Ausnutzungsversuche, nicht bestätigte Kompromittierungen von Produktivsystemen.

Langflow ist eine Open-Source-Plattform für die KI-Entwicklung, die Integrationen des Model Context Protocol (MCP) unterstützt. Frühere Angriffe auf die KI-Infrastruktur betrafen ebenfalls MCP-Dienste, den Diebstahl von Anmeldedaten und die unbefugte Ausführung von Befehlen.

Laut dem Sicherheitshinweis von Langflow ermöglichte eine unzureichende Validierung authentifizierten Benutzern, über MCP-Server mithilfe des Standardtransports für Eingabe und Ausgabe (stdio) Betriebssystembefehle einzuschleusen.

Befehle konnten mit den Rechten des Langflow-Dienstes ausgeführt werden, ohne dass Administratorzugriff erforderlich war. Eine erfolgreiche Ausnutzung konnte Anmeldedaten, sensible Dateien und verbundene Ressourcen offenlegen. Bösartige Konfigurationen konnten außerdem die Ausführung auslösen, wenn Langflow anschließend MCP-Serverdefinitionen lud.

Die standardmäßigeLANGFLOW_AUTO_LOGIN=true Konfiguration kann Zugriffstokens ohne Anmeldedaten ausstellen, wodurch sich die Gefährdung öffentlich zugänglicher Bereitstellungen erhöht. Eine separate Untersuchung identifizierte Tausende über das Internet erreichbare KI-Dienste und verdeutlichte damit Bedenken hinsichtlich der Zugriffskontrolle in selbst gehosteten KI-Infrastrukturen.

Patch-Lücken und Sicherheitskontrollen in Langflow

Langflow 1.9.0 behob CVE-2026-105740 durch die Einführung einer Validierung für die betroffene MCP-Konfigurationsschnittstelle. Unter einer damit verbundenen Schwachstelle blieben jedoch weitere Pfade zur Befehlsausführung verwundbar.

Ein zugehöriger Sicherheitshinweis nennt CVE-2026-105697, eine weitere kritische MCP-Command-Injection-Schwachstelle. Das langflow Paket war von Version 1.1.2 bis einschließlich 1.10.2 betroffen, während das langflow-base und lfx Paket separate Bereiche betroffener Versionen aufwiesen.

Langflow 1.10.3 erweiterte die Validierung auf zusätzliche Ausführungspfade und entfernte einen unsicheren Wrapper zur Shell-Ausführung. Administratoren sollten auf eine aktuelle unterstützte Version mit den Fixes aktualisieren und alle installierten Abhängigkeiten anhand der im Sicherheitshinweis aufgeführten Bereiche betroffener Versionen überprüfen.

Über das Patchen hinaus erfordern Sicherheitsrisiken innerhalb von KI-Entwicklungs-Toolchains zusätzliche Kontrollen für die Paketausführung und den Zugriff auf verbundene Systeme.

Organisationen sollten diese Maßnahmen priorisieren:

• Bereitstellungen patchen und überprüfen: Installationen inventarisieren, betroffene Pakete und Container aktualisieren und die laufenden Versionen bestätigen.
• Authentifizierung durchsetzen und Zugriff einschränken: Legen Sie LANGFLOW_AUTO_LOGIN=false, beschränken Sie Benutzerrechte und verhindern Sie unnötige öffentliche Erreichbarkeit.
• Ausführung von MCP-Paketen einschränken: Konfigurieren Sie LANGFLOW_MCP_SERVER_ALLOWED_PACKAGES so, dass nur genehmigte Pakete über die npx und uvx Interpreter zugelassen werden.
• Ausführungsumgebungen absichern: Aktivieren Sie die unterstützte Absicherung von MCP-Interpreter und Docker, schränken Sie die Ausführung benutzerdefinierten Codes ein und setzen Sie den Zugriff mit geringstmöglichen Rechten durch.
• Auf eine Kompromittierung überwachen: Überprüfen Sie MCP-Konfigurationen, Zugriffsprotokolle, Prozesse und ausgehende Verbindungen. Erneuern Sie möglicherweise offengelegte Anmeldedaten, wenn eine Kompromittierung vermutet wird.
• Pläne zur Reaktion auf Vorfälle testen: Validieren Sie Erkennungs-, Eindämmungs-, Anmeldedaten-Widerrufs- und Wiederherstellungsverfahren für kompromittierte KI-Entwicklungssysteme.

Das Patchen schließt die korrigierten Ausführungspfade, kann einen früheren Eindringling jedoch nicht rückgängig machen. Organisationen mit zuvor exponierten Installationen sollten historische Aktivitäten überprüfen und verdächtige Befehlsausführungen untersuchen, bevor sie die Behebung als abgeschlossen betrachten.

Mehr dazu: Eine weitere kritische RCE-Schwachstelle in Orkes Conductor zog ebenfalls Tausende von Ausnutzungsversuchen auf sich und legte ähnliche Risiken in der Workflow-Infrastruktur offen.