Langflow erlaubt Entwicklern den Aufbau von KI-Anwendungen und agentischen Workflows; die Muttergesellschaft DataStax wurde im Februar 2025 von IBM übernommen.

In einem im vergangenen Monat veröffentlichten Sicherheitshinweis heißt es: „Jeder authentifizierte Langflow-Nutzer kann Remote Code Execution (RCE) auf dem Server erreichen, indem er einen MCP-Server mit dem Transport ‚stdio’ hinzufügt." Das vom Nutzer gelieferte Feld „command" werde direkt an bash -c "exec {command}" übergeben — „ohne jede Validierung, ohne Allowlisting und ohne Sandboxing". Der Befehl werde unmittelbar ausgeführt, sobald die Serverliste abgerufen wird. Zusätzlich erlaube das Feld „env" das Einschleusen beliebiger Umgebungsvariablen, etwa LD_PRELOAD oder eine Überschreibung von PATH.

Der Kern des Problems: Langflow akzeptiert einen vom Nutzer vorgegebenen Befehl, ohne ihn auf freigegebene ausführbare Dateien zu beschränken — was in einer Shell-Ausführung mündet.

Ein möglicher Angriffsablauf sieht laut Beschreibung so aus:

  • Anmeldung als gewöhnlicher Nutzer ohne Administratorrechte.
  • Hinzufügen eines bösartigen MCP-Servers per präpariertem HTTP-POST an „/api/v2/mcp/servers/{server_name}" mit einem Schadbefehl im Feld „command", etwa einer Reverse Shell.
  • Der Server speichert den Befehl ohne Prüfung.
  • Auslösen durch einen HTTP-GET auf „/api/v2/mcp/servers?action_count=true", wodurch der Befehl ausgeführt wird.
  • Codeausführung.

Langflow warnt, jeder authentifizierte Nutzer, einschließlich Konten ohne Administratorrechte, könne beliebige Betriebssystembefehle mit den Rechten des Langflow-Prozesses ausführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Servers, zum Einschleusen von Umgebungsvariablen, zu lateraler Bewegung im Netz und zur Einrichtung einer dauerhaften Hintertür führen, da die bösartige MCP-Serverkonfiguration bestehen bleibt und bei jedem Laden der Serverliste erneut ausgeführt wird. „Anders als Code von benutzerdefinierten Komponenten, der im Flow-Editor sichtbar ist, werden MCP-Serverkonfigurationen in den Projekteinstellungen gespeichert und sind bei einer normalen Durchsicht des Flows nicht sichtbar", so Langflow.

Die beobachteten Angriffs-IPs stammen aus Belgien, China, Deutschland, Hongkong, Japan, Nigeria, den Philippinen, Russland, den Seychellen, Singapur, Südkorea, Taiwan, Tansania, den USA und Vietnam. Die Aktivität zog ab dem 11. Oktober 2026 deutlich an, als 333 Versuche gezählt wurden; am 15. Oktober 2026 wurden bislang 66 Versuche beobachtet.

„Wir haben untersucht, wie sich die Angreifer authentifizieren, da diese Schwachstelle eine Authentifizierung voraussetzt", sagte Ryan Dewhurst, Gründer und CEO von Previdian. „In einer beobachteten Abfolge prüften die Angreifer die Langflow-Version, versuchten /api/v1/auto_login — was mit 403 beantwortet wurde, da die Funktion in unserem Honeypot deaktiviert war — und authentifizierten sich anschließend erfolgreich mit einem gängigen Benutzernamen und Passwort. Sie nutzten das erhaltene Bearer-Token unmittelbar, um auf den verwundbaren Endpunkt der MCP-Serverkonfiguration zuzugreifen."

Zu den aufgezeichneten Payloads zählen:

  • Versuche, Umgebungsvariablen und sensible Langflow-Konfigurationen auszulesen, darunter LANGFLOW_SECRET_KEY und LANGFLOW_SUPERUSER_PASSWORD, und an 146.70.211[.]112:18764 zu übermitteln.
  • Docker-Befehle, die auf das Dateisystem des Hosts zugreifen und „/etc/passwd" auslesen sollten.
  • Testbefehle zur Codeausführung wie id und whoami.

Ein erheblicher Teil der Aktivität geht von der IP-Adresse „192.255.229[.]92" aus, die beim Auslesen von Umgebungsvariablen beobachtet wurde. Daten von GreyNoise und Previdian zufolge war diese Adresse auch an allgemeinen Brute-Force-Angriffen sowie an der Ausnutzung weiterer Schwachstellen beteiligt: in Flowise (CVE-2026-69255) und in Langflow (CVE-2026-55255, CVE-2026-9198 und CVE-2026-0768). Das Vorgehen deutet auf einen unbekannten Akteur hin, der exponierte Instanzen systematisch angeht; die Ziele sind bislang unklar.

„Wir empfehlen, Langflow auf eine gepatchte Version zu aktualisieren, Auto-Login zu deaktivieren, starke und einzigartige Passwörter durchzusetzen sowie Authentifizierungsprotokolle und Anfragen an /api/v2/mcp/servers/ auf verdächtige Aktivitäten zu prüfen", sagte Dewhurst. Ist ein sofortiges Einspielen des Patches nicht möglich, wird geraten, LANGFLOW_AUTO_LOGIN=false zu setzen, Langflow nicht direkt in nicht vertrauenswürdigen Netzen bereitzustellen und Konten nur an vertrauenswürdige Nutzer zu vergeben.

Im vergangenen Monat hatte Langflow zudem eine weitere kritische Schwachstelle behoben: CVE-2026-105697 (CVSS-Wert 9.9) ermöglichte ebenfalls das Einschleusen von Betriebssystembefehlen über die Konfiguration eines MCP-stdio-Servers.