Lỗ hổng RCE trong Langflow cho phép người dùng đã xác thực thực thi lệnh shell

Các nhóm đe dọa đang tích cực khai thác một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trong Langflow, nền tảng mã nguồn mở dành cho việc xây dựng các ứng dụng AI. Công ty bảo mật Previdian báo cáo rằng tin tặc đã tiến hành hơn 1.400 nỗ lực khai thác chống lại các cảm biến honeypot kể từ giữa tháng 9 năm 2026. Lỗ hổng này, được xác định là CVE-2026-105740, ảnh hưởng đến các phiên bản Langflow trước 1.9.0 và cho phép bất kỳ người dùng nào đã xác thực đều có thể thực thi các lệnh hệ điều hành tùy ý trên máy chủ host.

Chuyện gì đã xảy ra

Lỗ hổng bắt nguồn từ cách Langflow xử lý các cấu hình máy chủ Model Context Protocol (MCP). Khi người dùng thêm một máy chủ MCP sử dụng phương thức truyền tải 'stdio', ứng dụng chấp nhận trường lệnh mà không có sự kiểm tra, danh sách trắng hoặc sandboxing. Lệnh này được chuyển trực tiếp đến shell thông qua bash -c "exec {command}". Do đó, bất kỳ người dùng nào có thông tin đăng nhập hợp lệ, bao gồm cả tài khoản không phải quản trị viên, đều có thể chèn các payload độc hại. Lệnh sẽ được thực thi ngay lập tức khi danh sách máy chủ được truy xuất, cấp cho tin tặc đặc quyền tương đương với quy trình Langflow.

Dữ liệu của Previdian cho thấy sự gia tăng hoạt động đột biến, với 333 nỗ lực được ghi nhận chỉ riêng vào ngày 11 tháng 10 năm 2026. Tổng cộng, 1.423 nỗ lực khai thác đã được phát hiện từ 27 địa chỉ IP duy nhất thuộc các quốc gia bao gồm Trung Quốc, Nga, Mỹ và Việt Nam. Tin tặc thường xác thực bằng các thông tin đăng nhập yếu hoặc phổ biến sau khi kiểm tra phiên bản Langflow. Sau khi xâm nhập, chúng gửi các yêu cầu HTTP POST được thiết kế riêng đến endpoint máy chủ MCP để lưu trữ payload, sau đó kích hoạt việc thực thi bằng cách truy xuất danh sách máy chủ.

Hậu quả của việc khai thác thành công là rất nghiêm trọng. Tin tặc có thể chiếm quyền kiểm soát hoàn toàn máy chủ, chèn các biến môi trường như LD_PRELOAD và triển khai các backdoor tồn tại lâu dài. Vì cấu hình máy chủ MCP được lưu trữ trong cài đặt dự án chứ không phải trong các thành phần luồng hiển thị, những cấu hình độc hại này có thể vẫn ẩn náu trong quá trình xem xét mã bình thường. Các payload bị đánh chặn cho thấy tin tặc cố gắng trích xuất các bí mật nhạy cảm như LANGFLOW_SECRET_KEY và đọc các tệp hệ thống tệp trên host như /etc/passwd.

Cơ chế hoạt động

Cơ chế cốt lõi dựa vào việc thiếu kiểm tra đầu vào đối với phương thức truyền tải stdio của MCP. Trong một chuỗi tấn công điển hình, kẻ thù trước tiên đăng nhập với tư cách là người dùng tiêu chuẩn. Sau đó, họ gửi một yêu cầu POST đến /api/v2/mcp/servers/{server_name} chứa lệnh độc hại trong phần body. Langflow lưu cấu hình này mà không kiểm tra xem lệnh có an toàn hay không. Để kích hoạt lỗ hổng, tin tặc gửi một yêu cầu GET đến /api/v2/mcp/servers?action_count=true. Hành động này buộc ứng dụng tải danh sách máy chủ, vô tình thực thi lệnh đã được lưu ở nền.

Phương pháp này đặc biệt nguy hiểm vì nó vượt qua các quy trình xem xét mã truyền thống. Khác với các thành phần Python tùy chỉnh xuất hiện trong trình soạn thảo trực quan, cấu hình MCP là các cài đặt backend. Hơn nữa, lỗ hổng cho phép chèn biến môi trường, giúp tin tặc thao túng môi trường runtime của quy trình Langflow. Điều này có thể tạo điều kiện cho việc di chuyển ngang trong mạng hoặc thiết lập quyền truy cập lâu dài, vì cấu hình độc hại sẽ thực thi lại mỗi khi danh sách máy chủ được truy cập.

Chi tiết chính

• ID lỗ hổng: CVE-2026-105740 với điểm CVSS là 9.9.
• Phiên bản bị ảnh hưởng: Tất cả các phiên bản Langflow trước 1.9.0.
• Vector tấn công: Thực thi mã từ xa đã xác thực thông qua cấu hình máy chủ MCP.
• Khối lượng khai thác: 1.423 nỗ lực được ghi nhận bởi Previdian kể từ ngày 19 tháng 9 năm 2026.
• Mục tiêu chính: Thông tin đăng nhập yếu được sử dụng để giành quyền truy cập ban đầu trước khi khai thác lỗ hổng.
• Tính bền vững: Cấu hình MCP độc hại vẫn nằm trong cài đặt dự án và thực thi lại khi truy xuất danh sách.

Tại sao điều này quan trọng

Đối với các đội ngũ kỹ thuật xây dựng quy trình làm việc AI, sự cố này nhấn mạnh rủi ro của việc tích hợp các trình xử lý giao thức phức tạp như MCP mà không có ranh giới bảo mật chặt chẽ. Việc một người dùng không phải quản trị viên có thể xâm phạm toàn bộ máy chủ host nhấn mạnh tầm quan trọng của các biện pháp kiểm soát truy cập theo nguyên tắc đặc quyền tối thiểu. Nhiều tổ chức có thể giả định rằng người dùng nội bộ hoặc cộng tác viên là đáng tin cậy, nhưng lỗ hổng này biến bất kỳ tài khoản nào bị xâm phạm thành cửa ngõ dẫn đến việc chiếm quyền kiểm soát hoàn toàn máy chủ. Nó cũng chứng minh cách các giao diện cấu hình có thể trở thành bề mặt tấn công nếu không được sandboxing đúng cách.

Ngoài ra, sự leo thang nhanh chóng trong các nỗ lực khai thác cho thấy rằng các máy quét tự động hiện đang nhắm mục tiêu cụ thể vào lỗ hổng này. Sự liên quan của các địa chỉ IP được liên kết với các lỗ hổng gần đây khác trong các công cụ như Flowise chỉ ra một chiến dịch có hệ thống nhằm vào cơ sở hạ tầng phát triển AI. Các đội ngũ vận hành các instance Langflow công khai phải coi đây là mối đe dọa đang hoạt động, chứ không chỉ là rủi ro lý thuyết. Khả năng trích xuất khóa bí mật và biến môi trường có nghĩa là một vi phạm duy nhất có thể dẫn đến việc xâm phạm cơ sở hạ tầng rộng lớn hơn.

Bạn có thể làm gì

• Nâng cấp Langflow lên phiên bản 1.9.0 hoặc mới hơn ngay lập tức để vá CVE-2026-105740.
• Vô hiệu hóa tính năng tự động đăng nhập bằng cách đặt LANGFLOW_AUTO_LOGIN=false trong các biến môi trường của bạn.
• Áp dụng mật khẩu mạnh và độc đáo cho tất cả các tài khoản người dùng Langflow để ngăn chặn truy cập trái phép.
• Xem xét nhật ký xác thực và giám sát các yêu cầu đến /api/v2/mcp/servers/ để tìm kiếm hoạt động đáng ngờ.
• Tránh phơi bày các instance Langflow trực tiếp với các mạng không tin cậy hoặc internet công khai.