LONDON (IT BOLTWISE) – Angreifer nutzen eine kritische Sicherheitslücke in Langflow gezielt aus: CVE-2026-105740 ermöglicht Remote Code Execution trotz Authentifizierung. Laut Daten aus Honeypot-Sensoren gab es seit dem 19. September 2026 insgesamt 1.423 Exploit-Versuche aus 27 IP-Adressen. Der Angriff setzt auf das Hinzufügen eines bösartigen MCP-Servers mit dem „stdio“-Transport und führt beim Abruf der Serverliste zur sofortigen Codeausführung. Betroffen sind Langflow-Versionen vor 1.9.0, während ein Patch und zusätzliche Härtungsmaßnahmen dringend empfohlen werden.
Die aktuelle Sicherheitslage rund um Langflow nimmt eine besonders kritische Form an, weil der Weg zur Ausnutzung nicht bei einer reinen Unauthentifiziertheit endet. Die Lücke CVE-2026-105740 ist als authentifizierte Remote Code Execution (RCE) klassifiziert (CVSS 9,9) und betrifft Langflow-Versionen vor 1.9.0. In der Praxis bedeutet das: Ein Angreifer braucht zunächst gültige Zugangsdaten und kann dann OS-Befehle auf dem Server auslösen. Genau diese Kombination aus vorhandener Authentifizierung und fehlender Eingabeabsicherung erklärt auch, warum das Thema nicht nur für klassische Penetrationstests relevant ist, sondern unmittelbar in den Betrieb von KI-Workflows hineinwirkt.
Technisch setzt der Kernfehler an einer Stelle an, an der sich Entwickler oft auf „konfigurierte Integrationen“ verlassen: der MCP-Server-Anbindung (Model Context Protocol) mit dem „stdio“-Transport. Nach der Beschreibung in der Sicherheitsnotiz lässt Langflow einen von Nutzern übergebenen Befehl unverändert an eine Shell-Kette weiterreichen: Der Command-Feldinhalt wird direkt an bash -c übergeben und ohne Allowlisting sowie ohne Sandbox ausgeführt. Zusätzlich eröffnet das env-Feld die Möglichkeit, beliebige Umgebungsvariablen einzuspritzen – etwa um Pfade wie PATH zu überschreiben oder mit LD_PRELOAD die Laufzeitumgebung zu manipulieren. Entscheidend ist dabei der Auslöser: Die Ausführung erfolgt unmittelbar, wenn der Server die MCP-Serverliste lädt, nicht erst bei einem späteren Interaktionsschritt.
Der Angriffsablauf, wie er in der Darstellung als hypothetisches Szenario beschrieben wird, folgt damit einem Muster, das in produktiven Umgebungen oft unterschätzt wird: Erst wird als normaler Nutzer (ohne Adminrechte) eingeloggt, dann wird über einen gezielten HTTP POST ein bösartiger MCP-Server hinzugefügt und das bösartige Command-Element gespeichert. Anschließend reicht bereits ein HTTP GET auf den Endpoint zum Abruf der Serverliste, inklusive Parameter wie action_count=true, um die gespeicherte Konfiguration zur Ausführung zu bringen. Der gefährliche Punkt ist nicht allein der „reverse shell“-Gedanke, sondern dass die Konfiguration persistent gespeichert wird und damit beim späteren Laden der Liste erneut aktiv wird. Das kann die Grundlage für dauerhafte Hintertüren bilden, während die Angreifer parallel auch Umgebungsvariablen und sensible Einstellungen abgreifen.
Die beobachtete Relevanz dieser Lücke geht über theoretische Szenarien hinaus. Laut Daten eines Akteurs für Bedrohungsbeobachtung wurden seit dem 19. September 2026 insgesamt 1.423 Exploit-Versuche gegen Honeypot-Sensoren erfasst; beteiligt waren 27 unterschiedliche Angreifer-IP-Adressen. Geografisch verteilte sich das Traffic-Bild u. a. auf Belgien, China, Deutschland, Hongkong, Japan, Nigeria, die Philippinen, Russland, die Seychellen, Singapur, Südkorea, Taiwan, Tansania, die USA und Vietnam. Auffällig ist zudem die zeitliche Verdichtung: Ab dem 11. Oktober 2026 stieg die Zahl der Versuche auf 333, und am 15. Oktober 2026 waren bereits 66 Versuche in den Sensoren sichtbar. Solche Muster sprechen eher für automatisierte Kampagnen als für einzelne Fehlversuche.
Auch die Sequenz zur Authentifizierung wird in den Daten als erklärungsrelevant beschrieben: Da die Lücke eine gültige Authentifizierung voraussetzt, prüften Angreifer in mindestens einer beobachteten Kette zunächst die Version der Instanz, testeten dann einen Auto-Login-Endpoint, der in dem konkreten Honeypot deaktiviert war (Rückgabe 403), und authentifizierten sich anschließend mit einem gängigen Benutzername-Passwort-Kombinationsansatz. Erst danach nutzten sie einen Bearer-Token, um direkt auf den Konfigurationsendpunkt für MCP-Server zuzugreifen. In den erfassten Payloads tauchten mehrere Kategorien von Zielaktionen auf: Versuche, Umgebungsvariablen und Langflow-spezifische Secrets wie LANGFLOW_SECRET_KEY oder LANGFLOW_SUPERUSER_PASSWORD auszulesen und zu exfiltrieren, Docker-ähnliche Kommandos zur Host-Filesystem-Erkundung, sowie einfache Kommando-„Probes“ wie id und whoami. Ein signifikanter Anteil der Aktivität wurde dabei einer IP-Adresse zugeschrieben, die zudem in generischen Brute-Force-Aktivitäten sowie in der Ausnutzung anderer Schwachstellen in Flowise und Langflow in Erscheinung trat.
Für den Betrieb ist die Lage vor allem deshalb heikel, weil sich der schädliche Teil möglicherweise nicht wie „klassischer Code“ im Workflow-Editor zeigt. Laut Langflow-Referenz werden MCP-Serverkonfigurationen in Projekteinstellungen abgelegt und sind bei einer normalen Durchsicht von Flow-Elementen nicht zwangsläufig sichtbar. Genau dadurch kann ein Review-Prozess falsche Sicherheit erzeugen: Selbst wenn im visuellen Flow „nichts auffällig“ wirkt, kann die Backend-seitige Konfiguration bösartige Command-Felder enthalten. Als unmittelbare Gegenmaßnahmen werden daher ein Upgrade auf eine gepatchte Langflow-Version sowie das Abschalten von Auto-Login, das Erzwingen starker und einzigartiger Passwörter und eine manuelle Prüfung der Authentifizierungs- und der relevanten API-Requests auf verdächtige Aktivitäten empfohlen. Ergänzend wird auf die Praxis verwiesen, Langflow nicht direkt untrusted Netzen auszusetzen, damit Angriffsflächen durch automatisierte Anmeldungen und API-Calls schrumpfen.
Das Bild wird außerdem durch eine weitere Sicherheitsnotiz aus dem gleichen Zeitfenster unterstrichen: Langflow adressierte zuletzt ebenfalls eine kritische Lücke (CVE-2026-105697, CVSS 9,9), die über eine ähnliche MCP-stdio-Logik ebenfalls in Richtung OS-Command-Injection wirken kann. Für IT-Teams heißt das, dass „Patchen“ nicht als einzelner Task verstanden werden sollte, sondern als Bestandteil eines systematischen Härtungskonzepts für KI-Workflow-Backends: Dazu gehören Netzwerksegmentierung, restriktive Exposure, striktes Secret-Handling und eine gezielte Logauswertung rund um die MCP-Server-Endpoints. Da die Konfiguration persistiert und der Code beim Laden wieder ausgeführt werden kann, ist eine reine „Beseitigung nach dem ersten Treffer“ ohne Bereinigung der gespeicherten MCP-Einträge nicht ausreichend.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Langflow: Authentifizierte RCE-Lücke (CVE-2026-105740) wird aktiv ausgenutzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Langflow: Authentifizierte RCE-Lücke (CVE-2026-105740) wird aktiv ausgenutzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Langflow: Authentifizierte RCE-Lücke (CVE-2026-105740) wird aktiv ausgenutzt« bei Google Deutschland suchen, bei Bing oder Google News!