CISA hat in den Katalog Known Exploited Vulnerabilities (KEV) drei Schwachstellen mit bestätigter aktiver Ausnutzung aufgenommen: eine kritische RCE in Langflow (CVE-2026-9198, CVSS 9.8), eine Umgehung der Verschlüsselung in Apache Tomcat (CVE-2026-34486, CVSS 7.5) und eine Umgehung der Authentifizierung in N-able N-central (CVE-2026-18556, CVSS 8.2). Zivile US-Bundesbehörden sind verpflichtet, diese Schwachstellen bis zum 7. August 2026 zu beheben. Besonderes Augenmerk gilt der Zuordnung der Tomcat-Exploits: Nach Angaben von Unit 42 steht sie im Zusammenhang mit einer autonomen Kampagne, in der ein chinesischsprachiger Angreifer DeepSeek als offensiven Operator eingesetzt hat.
Technische Details der Schwachstellen
CVE-2026-9198 — entfernte Ausführung von Code in Langflow
Die Schwachstelle vom Typ „Code Injection“ in der Plattform zur Entwicklung von KI-Anwendungen Langflow ermöglicht es einem nicht authentifizierten Angreifer, auf Standard-Deployments eine vollständige entfernte Ausführung von Code zu erreichen. Die CVSS-Bewertung liegt bei 9.8 (kritisch). Der Fix wurde im Juli 2026 in Version 1.10.1 veröffentlicht. Details zu konkreten Exploit-Szenarien wurden bisher nicht offengelegt, allerdings war Langflow in den vergangenen Monaten wiederholt Ziel von Angreifern.
CVE-2026-34486 — Umgehung der Verschlüsselung in Apache Tomcat
Die Schwachstelle in Apache Tomcat steht im Zusammenhang mit fehlender Verschlüsselung sensibler Daten in der Cluster-Komponente EncryptInterceptor, die die Verschlüsselung von Nachrichten zwischen Cluster-Knoten mithilfe eines vorab vereinbarten Schlüssels sicherstellt. Die Umgehung dieses Mechanismus (CVSS 7.5) ermöglicht es einem Angreifer, den Verkehr zwischen den Knoten abzufangen oder zu manipulieren. Laut offiziellem Apache-Hinweis ist der Fix seit April 2026 in den Versionen 11.0.21, 10.1.54 und 9.0.117 verfügbar.
CVE-2026-18556 und CVE-2026-18577 — Umgehung der Authentifizierung in N-able N-central
Die Schwachstelle zur Umgehung der Authentifizierung in der Remote-Management-Plattform N-able N-central (CVSS 8.2) hat besondere Aufmerksamkeit erhalten, weil der ursprüngliche Fix unvollständig war. N-able veröffentlichte einen nachgebesserten Patch, der die Kennung CVE-2026-18577 (CVSS 8.2) erhielt. Bemerkenswert ist, dass CVE-2026-18577 bereits zuvor in den KEV aufgenommen worden war, und die Ergänzung der ursprünglichen CVE-2026-18556 bestätigt, dass beide Schwachstellen aktiv von Angreifern ausgenutzt werden. Das bedeutet, dass Organisationen, die nur den ersten Patch eingespielt haben, weiterhin verwundbar sind.
Bedrohungskontext: autonome KI-Kampagne
Der bedeutendste Aspekt dieser KEV-Aktualisierung ist der Kontext der Ausnutzung von CVE-2026-34486. Laut Untersuchung von Palo Alto Networks Unit 42 steht die Ausnutzung dieser Schwachstelle im Zusammenhang mit einer autonomen Hacker-Kampagne, die von einem chinesischsprachigen Angreifer mit den Pseudonymen knaithe und KnYuan durchgeführt wurde. Der Angreifer soll sich demnach in Zhuhai (China) aufhalten.
Dem Bericht von Unit 42 zufolge nutzte der Angreifer das Modell DeepSeek über das Framework Hermes Agent als autonomen offensiven Operator für Angriffe auf aus dem Internet erreichbare Geräte. Als die anfänglichen Versuche, die Schwachstelle in Langflow (CVE-2026-33017, CVSS 9.8) auszunutzen, aufgrund restriktiver Konfigurationen der Zielumgebung scheiterten, soll der KI-Agent eigenständig Recherchen durchgeführt haben, um alternative Schwachstellen zu finden, darunter Schwachstellen in der Automatisierungsplattform n8n.
Parallel dazu führte derselbe Angreifer manuelle Aktionen unter Ausnutzung bekannter Schwachstellen in Citrix NetScaler (CVE-2026-3055), Marimo (CVE-2026-39987), Apache Tomcat (CVE-2026-34486) und IKE VPN (CVE-2026-33824) durch.
Nach Einschätzung von Unit 42 griff der Angreifer mehr als 460 Ziele an und kombinierte dabei autonome und manuelle Methoden. Die Forschenden betonen, dass der Angreifer offenbar DeepSeek die Eingrenzung der Zielauswahl überließ – vermutlich, um Rechenressourcen für die KI zu sparen. Der autonome Prozess zur Identifikation von Zielen, zur Auswahl und zur Eingrenzung der Angriffsfläche erledigte in Minuten eine Arbeit, die manuell Hunderte Stunden Analyse erfordert hätte.
Es ist zu beachten, dass die Attribution der Kampagne auf einem einzigen Forschungsbericht von Unit 42 basiert und nicht unabhängig von staatlichen oder anderen Stellen bestätigt wurde.
Auswirkungsanalyse
In ihrer Gesamtheit erzeugen diese Schwachstellen eine breite Angriffsfläche, die mehrere Kategorien von Organisationen betrifft:
- Teams zur Entwicklung von KI-Anwendungen, die Langflow einsetzen – eine kritische RCE ohne Authentifizierung in Standard-Deployments bedeutet, dass jede aus dem Internet erreichbare Langflow-Instanz vollständig kompromittiert werden kann.
- Betreiber von Apache-Tomcat-Clustern – die Umgehung von EncryptInterceptor gefährdet die Vertraulichkeit des Datenaustauschs zwischen den Knoten, was insbesondere für verteilte Systeme, die sensible Informationen verarbeiten, kritisch ist.
- Anbieter von Managed IT Services (MSP), die N-able N-central nutzen – die Umgehung der Authentifizierung in der Remote-Management-Plattform eröffnet potenziell den Zugriff auf die gesamte Infrastruktur der MSP-Kunden.
Das Auftauchen autonomer KI-Agenten im Werkzeugkasten von Angreifern verändert die Dynamik von Attacken grundlegend: Der Umfang der Aufklärung und die Geschwindigkeit des Wechsels zwischen Zielen und Schwachstellen überschreiten die Möglichkeiten manueller Tests deutlich.
Praktische Empfehlungen
- Langflow: umgehend auf Version 1.10.1 oder höher aktualisieren. Prüfen, ob Langflow-Instanzen aus dem Internet erreichbar sind, und den Zugriff bei fehlender geschäftlicher Notwendigkeit durch Netzsegmentierung einschränken.
- Apache Tomcat: auf Version 11.0.21, 10.1.54 oder 9.0.117 aktualisieren – abhängig vom verwendeten Branch. Die Konfiguration von EncryptInterceptor in Cluster-Deployments überprüfen und sicherstellen, dass der Verkehr zwischen den Knoten nicht über nicht vertrauenswürdige Netze läuft.
- N-able N-central: sicherstellen, dass der Patch installiert ist, der beide Schwachstellen – CVE-2026-18556 und CVE-2026-18577 – schließt. Der ursprüngliche Fix war unvollständig, und die Installation nur eines Patches bietet keinen ausreichenden Schutz.
- Einen Audit des Netzperimeters auf offene Instanzen von Langflow, Tomcat, N-central sowie den in der Kampagne genannten Citrix NetScaler, Marimo, n8n und IKE VPN durchführen.
- Für zivile US-Bundesbehörden (FCEB): Frist für die Behebung ist der 7. August 2026.
Die drei in den KEV aufgenommenen Schwachstellen erfordern sofortiges Patchen – insbesondere vor dem Hintergrund, dass mindestens eine von ihnen im Rahmen einer automatisierten Kampagne mit einem KI-Agenten ausgenutzt wird, der in der Lage ist, eigenständig Ziele auszuwählen und zwischen Schwachstellen zu wechseln. Organisationen, die Langflow, Apache Tomcat in Cluster-Konfiguration oder N-able N-central einsetzen, sollten die Aktualisierung als Priorität erster Stufe behandeln und parallel ihre Logs auf Anzeichen einer Kompromittierung im Zeitraum vor Veröffentlichung der Patches prüfen.
