Die Schwachstelle CVE-2026-0768 wurde im Januar offengelegt und erhielt eine kritische Einstufung. Betroffen sind alle Langflow-Versionen bis einschließlich 1.4.2. Laut Schwachstellenbeschreibung liegt der Fehler in der Verarbeitung des Parameters “code”, der an den Validate-Endpunkt übergeben wird. Auch Trend Micros Zero Day Initiative weist darauf hin, dass eine vom Nutzer übergebene Zeichenkette ohne ausreichende Prüfung zur Ausführung von Python-Code verwendet wird. Eine Authentifizierung ist nicht erforderlich, der Code läuft mit Root-Rechten.
VulnCheck beobachtete die Ausnutzung auf Honeypots in Großbritannien. Zunächst waren es mindestens 50 Versuche über das Wochenende, inzwischen zählt das Unternehmen 360 Angriffe. Der Angriffsverkehr stammt überwiegend aus Russland.
Das Vorgehen der Angreifer beschreibt Caitlin Condon von VulnCheck als systematische Erkundung des kompromittierten Systems: “Unter anderem fragen die Anfragen der Angreifer Umgebungsvariablen ab (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), lesen /root/.cache/langflow/secret_key und prüfen den .ssh-Zugriff sowie die Größe der .bash_history.” Gesucht wird also gezielt nach administrativen Zugangsdaten, Superuser-Schlüsseln von Langflow-Instanzen, AWS-Secrets und OpenAI-API-Schlüsseln. Öffentlich verfügbare Proof-of-Concept-Exploits sind laut Condon bislang nicht bekannt.
Langflow ist eine quelloffene, Python-basierte Low-Code-Plattform zum Bau von KI-Anwendungen, Agenten, Chatbots und Systemen für Retrieval Augmented Generation (RAG). Nutzer verknüpfen in einer grafischen Oberfläche Komponenten für Sprachmodelle, Prompts, Datenbanken und APIs zu Arbeitsabläufen. Genau diese Rolle als Bindeglied zwischen Cloud-Diensten und KI-Anbietern macht die Instanzen für Angreifer attraktiv: Wer Zugriff erlangt, findet dort typischerweise die Schlüssel zu weiteren Systemen.
CVE-2026-0768 ist nicht die erste Langflow-Lücke, die in diesem Jahr angegriffen wurde. Im März nutzten Angreifer die kritische Code-Injection-Schwachstelle CVE-2026-33017 binnen etwa eines Tages nach ihrer Veröffentlichung aus, um Python-Skripte auszuführen sowie .ENV- und Datenbankdateien abzuziehen. Es folgten Angriffe auf CVE-2026-5027, mit der sich beliebige Dateien auf verwundbare Server schreiben lassen, sowie auf CVE-2026-55255, über die Angreifer auf die KI-Arbeitsabläufe anderer Nutzer zugriffen, sensible Daten entwendeten und Implantate der zweiten Stufe nachluden.
Über CVE-2026-0770 führten Angreifer Befehle mit Root-Rechten aus und versuchten, Schadsoftware auszubringen sowie Cloud-Zugangsdaten, Umgebungsvariablen und Container-Metadaten abzugreifen. Zuletzt warnte die US-Behörde CISA vor der Ausnutzung von CVE-2026-9198, nachdem mehrere Proof-of-Concept-Exploits öffentlich verfügbar geworden waren.
Betreibern von Langflow wird empfohlen, auf Version 1.11.6 zu wechseln. Diese Ausgabe behebt nach Angaben des Projekts alle bislang bekannten Schwachstellen.