RCE-Schwachstelle in Langflow ermöglicht authentifizierten Nutzern die Ausführung von Shell-Befehlen

Bedrohungsakteure nutzen aktiv eine kritische Remote-Code-Ausführungsschwachstelle (RCE) in Langflow aus, einer Open-Source-Plattform zur Entwicklung von KI-Anwendungen. Das Sicherheitsunternehmen Previdian berichtete, dass Angreifer seit Mitte September 2026 mehr als 1.400 Exploit-Versuche gegen Honeypot-Sensoren gestartet haben. Die Schwachstelle, identifiziert als CVE-2026-105740, betrifft Langflow-Versionen vor 1.9.0 und ermöglicht es jedem authentifizierten Nutzer, beliebige Betriebssystembefehle auf dem Hostserver auszuführen.

Was passiert ist

Die Schwachstelle resultiert aus der Art und Weise, wie Langflow Konfigurationen für Model Context Protocol (MCP)-Server verarbeitet. Wenn ein Nutzer einen MCP-Server unter Verwendung des 'stdio'-Transports hinzufügt, akzeptiert die Anwendung ein Befehlsfeld ohne Validierung, Whitelisting oder Sandboxing. Dieser Befehl wird direkt an die Shell übergeben via bash -c "exec {command}". Folglich kann jeder Nutzer mit gültigen Zugangsdaten, einschließlich Nicht-Admin-Konten, bösartige Payloads einschleusen. Der Befehl wird sofort ausgeführt, wenn die Serverliste abgerufen wird, was dem Angreifer dieselben Berechtigungen wie dem Langflow-Prozess einräumt.

Die Daten von Previdian zeigen einen Anstieg der Aktivität, wobei allein am 11. Oktober 2026 333 Versuche verzeichnet wurden. Insgesamt wurden 1.423 Exploit-Versuche von 27 eindeutigen IP-Adressen aus Ländern wie China, Russland, den USA und Vietnam erkannt. Angreifer authentifizieren sich typischerweise mit schwachen oder gängigen Zugangsdaten, nachdem sie die Langflow-Version überprüft haben. Sobald sie im System sind, senden sie präparierte HTTP-POST-Anfragen an den MCP-Server-Endpunkt, um ihren Payload zu speichern, und lösen die Ausführung durch Abrufen der Serverliste aus.

Die Folgen einer erfolgreichen Ausnutzung sind schwerwiegend. Angreifer können eine vollständige Kompromittierung des Servers erreichen, Umgebungsvariablen wie LD_PRELOAD injizieren und persistente Hintertüren installieren. Da MCP-Server-Konfigurationen in den Projekteinstellungen und nicht in sichtbaren Flow-Komponenten gespeichert werden, können diese bösartigen Konfigurationen während normaler Code-Reviews verborgen bleiben. Erfasste Payloads zeigen, dass Angreifer versuchen, sensible Geheimnisse wie LANGFLOW_SECRET_KEY zu extrahieren und Dateien im Host-Dateisystem wie /etc/passwd zu lesen.

Wie es funktioniert

Der Kernmechanismus beruht auf dem Fehlen der Eingabebereinigung für den MCP-stdio-Transport. In einer typischen Angriffskette meldet sich der Gegner zunächst als Standardnutzer an. Anschließend sendet er eine POST-Anfrage an /api/v2/mcp/servers/{server_name}, die einen bösartigen Befehl im Body enthält. Langflow speichert diese Konfiguration, ohne zu prüfen, ob der Befehl sicher ist. Um den Exploit auszulösen, sendet der Angreifer eine GET-Anfrage an /api/v2/mcp/servers?action_count=true. Diese Aktion zwingt die Anwendung dazu, die Serverliste zu laden, was unbeabsichtigt den gespeicherten Befehl im Hintergrund ausführt.

Diese Methode ist besonders gefährlich, da sie traditionelle Code-Review-Prozesse umgeht. Im Gegensatz zu benutzerdefinierten Python-Komponenten, die im visuellen Editor erscheinen, sind MCP-Konfigurationen Backend-Einstellungen. Darüber hinaus ermöglicht die Schwachstelle die Injection von Umgebungsvariablen, wodurch Angreifer die Laufzeitumgebung des Langflow-Prozesses manipulieren können. Dies kann laterale Bewegungen im Netzwerk erleichtern oder persistenten Zugang etablieren, da die bösartige Konfiguration jedes Mal erneut ausgeführt wird, wenn die Serverliste abgerufen wird.

Wichtige Details

• Schwachstellen-ID: CVE-2026-105740 mit einem CVSS-Score von 9,9.
• Betroffene Versionen: Alle Langflow-Versionen vor 1.9.0.
• Angriffsvektor: Authentifizierte Remote-Code-Ausführung über MCP-Server-Konfiguration.
• Ausnutzungsvolumen: 1.423 von Previdian seit dem 19. September 2026 verzeichnete Versuche.
• Primäres Ziel: Schwache Zugangsdaten werden verwendet, um initialen Zugriff zu erlangen, bevor die Schwachstelle ausgenutzt wird.
• Persistenz: Bösartige MCP-Konfigurationen bleiben in den Projekteinstellungen erhalten und werden bei Listenabrufen erneut ausgeführt.

Warum das wichtig ist

Für Engineering-Teams, die KI-Workflows entwickeln, verdeutlicht dieser Vorfall die Risiken bei der Integration komplexer Protokollhandler wie MCP ohne strenge Sicherheitsgrenzen. Die Tatsache, dass ein Nicht-Admin-Nutzer den gesamten Host kompromittieren kann, unterstreicht die Bedeutung von Least-Privilege-Zugriffskontrollen. Viele Organisationen gehen möglicherweise davon aus, dass interne Nutzer oder Mitarbeiter vertrauenswürdig sind, aber diese Schwachstelle verwandelt jedes kompromittierte Konto in ein Gateway für die vollständige Übernahme des Servers. Sie zeigt auch, wie Konfigurationsoberflächen zu Angriffsflächen werden können, wenn sie nicht ordnungsgemäß gesandboxt sind.

Darüber hinaus deutet der rasante Anstieg der Exploit-Versuche darauf hin, dass automatisierte Scanner nun gezielt nach dieser spezifischen Schwachstelle suchen. Die Beteiligung von IP-Adressen, die mit anderen kürzlich entdeckten Schwachstellen in Tools wie Flowise in Verbindung gebracht werden, weist auf eine systematische Kampagne gegen die Infrastruktur für KI-Entwicklung hin. Teams, die exponierte Langflow-Instanzen betreiben, müssen dies als aktive Bedrohung behandeln, nicht nur als theoretisches Risiko. Die Fähigkeit, Schlüssel und Umgebungsvariablen zu extrahieren, bedeutet, dass ein einzelner Einbruch zu einer breiteren Kompromittierung der Infrastruktur führen kann.

Was Sie tun können

• Aktualisieren Sie Langflow unverzüglich auf Version 1.9.0 oder höher, um CVE-2026-105740 zu patchen.
• Deaktivieren Sie die automatische Anmeldung, indem Sie LANGFLOW_AUTO_LOGIN=false in Ihren Umgebungsvariablen setzen.
• Erzwingen Sie starke, eindeutige Passwörter für alle Langflow-Nutzerkonten, um unbefugten Zugriff zu verhindern.
• Überprüfen Sie Authentifizierungsprotokolle und überwachen Sie Anfragen an /api/v2/mcp/servers/ auf verdächtige Aktivitäten.
• Vermeiden Sie es, Langflow-Instanzen direkt untrusted Netzwerken oder dem öffentlichen Internet auszusetzen.
• Beschränken Sie die Erstellung von Langflow-Konten auf vertrauenswürdiges Personal und auditieren Sie bestehende Nutzerberechtigungen.