Gegenüber Dark Reading spricht Condon von einer “anhaltenden Ausnutzung” der Langflow-Schwachstelle seit dem ersten beobachteten Angriff am Samstag. “Stand Dienstag hat unser Canary-Netzwerk Aktivitäten von rund 20 verschiedenen IP-Adressen aus mehr als einem halben Dutzend Ländern registriert”, sagt sie.
Das Spektrum reicht laut Condon von automatisiertem Scannen über die Ausnutzung zur Erstzugriffsbeschaffung bis hin zu Nachbereitungsaktivitäten. Dazu zählt das fortlaufende Einsammeln von Zugangsdaten und Geheimnissen: Die Angreifer lesen den secret_key von Langflow aus, durchsuchen Umgebungsvariablen nach API-Schlüsseln und Cloud-Zugangsdaten und fahnden nach SSH-Schlüsseln sowie .env-Dateien. Beobachtet wurden zudem seitliche Bewegungen im Netz und das Ausschleusen von Langflow-Quellcode.
Eine Kampagne fiel besonders auf: Sie setzte auf Python-Skripte mit chinesischsprachigen Kommentaren und “schien nach bereits mit Hintertüren versehenen Langflow-Installationen zu suchen, um dort eigene Persistenzmechanismen einzurichten”, so Condon. Das deutet auf zuvor unbemerkte Bedrohungen für Langflow-Nutzer hin.
Wenige Tage vor den Angriffen auf CVE-2026-0768 hatten VulnCheck-Forscher einen Blogbeitrag zu aktuellen Aktivitäten gegen die KI-Entwicklungsplattform veröffentlicht. Darin analysierten sie die Ausnutzung zweier weiterer Schwachstellen – CVE-2025-3248 und CVE-2026-0769 – durch zwei unterschiedliche Akteure mit verschiedenen Zielen. “Die von uns beobachteten Angriffe zeigen den Einsatz unterschiedlicher Schwachstellen und Taktiken gegen dieselbe Technologie”, schreiben die Forscher. “Ein Angreifer scheint daran interessiert, Zugangsdaten vom Host abzuziehen, vermutlich um breiteren Zugriff im Unternehmen zu erlangen. Der andere konzentriert sich offenbar darauf, seinen Krypto-Mining-Betrieb auszuweiten.”
Die Entwicklung hat sich deutlich beschleunigt: Vor diesem Jahr war laut VulnCheck nur eine einzige Langflow-Schwachstelle in freier Wildbahn ausgenutzt worden. “2026 hat sich die Lage rasch geändert”, schreiben die Forscher. “Wir haben inzwischen 11 weitere Schwachstellen gesehen, die angegriffen und als aktiv ausgenutzt gemeldet wurden – das zeigt das wachsende Interesse der Angreifer an Langflow.”
Als Gründe nennt VulnCheck einerseits die rasante Verbreitung von KI-Technologien allgemein, bei deren Entwicklung Sicherheitsprinzipien vielfach vernachlässigt worden seien. Andererseits sei Langflow darauf ausgelegt, als über das Internet erreichbarer Dienst betrieben zu werden. Genau das mache die Installationen attraktiv, weil sie Zugang zu MCP-Servern, Rechenressourcen, sensiblen Daten und hochwertigen Systemen in Unternehmensnetzen eröffnen.
Langflow selbst stellt Empfehlungen zur Verringerung der Angriffsfläche bereit, die nach Einschätzung von VulnCheck von vielen Neuanwendern jedoch beiseitegeschoben werden. “Angreifer nehmen opportunistisch im Internet exponierte Langflow-Installationen ins Visier, was unterstreicht, wie wichtig es ist, die Exposition wo immer möglich zu minimieren”, sagt Condon. Administratoren sollten zudem von den Voreinstellungen abweichende Secret Keys setzen und zusätzliche Maßnahmen gegen das Risiko beliebiger Codeausführung erwägen.