IBM offenbart vier Schwachstellen in Langflow – zwei mit CVSS 9.8 ermöglichen Remote Code Execution ohne Authentifizierung

Langflow OSS – ein populäres Open-Source-Tool zum Aufbau von AI-Agenten und Workflows – enthält vier Schwachstellen, von denen zwei es einem entfernten Angreifer ohne Benutzerkonto erlauben, die Authentifizierung zu umgehen oder beliebigen Code auf dem Server auszuführen. Laut dem am 28. Oktober 2026 veröffentlichten Sicherheitshinweis von IBM sind alle Versionen von 1.0.0 bis 1.12.8 betroffen. Die einzige Abhilfe besteht darin, auf Version 1.13.0 zu aktualisieren. IBM bietet keine temporären Workarounds an, was das Update für alle Betreiber von Langflow zu einer dringenden Maßnahme macht.

Details zu den Schwachstellen

Der IBM-Sicherheitshinweis beschreibt vier Schwachstellen mit unterschiedlichen Angriffsvektoren und Kritikalitätsstufen:

• CVE-2026-93680 (CVSS 9.8, IBM) – Umgehung der Authentifizierung (CWE-287). Ermöglicht es einem entfernten Angreifer, aufgrund fehlerhafter Authentifizierung Sicherheitsbeschränkungen zu umgehen.
• CVE-2026-110186 (CVSS 9.8, IBM) – Ausführung beliebigen Codes ohne Authentifizierung (CWE-94). Nach Angaben von IBM ist eine Ausnutzung über das Auflisten von Model Context Protocol (MCP)-Tools möglich – ein Protokoll, über das Langflow seine Flows als Tools für AI-Anwendungen bereitstellt.
• CVE-2026-110193 (CVSS 8.8, IBM) – Ausführung von OS-Kommandos (CWE-94). Erfordert Authentifizierung mit Minimalprivilegien: Ein Angreifer kann den integrierten AI-Assistenten von Langflow dazu bringen, Komponenten-Code zu erzeugen oder zu senden, der zur Ausführung beliebiger Betriebssystemkommandos führt.
• CVE-2026-110192 (CVSS 6.5, IBM) – Offenlegung vertraulicher Informationen (CWE-522). Ein authentifizierter Angreifer kann aufgrund unzureichenden Schutzes von Zugangsdaten sensible Informationen erlangen.

Öffentlicher Exploit und abweichende Angabe des Versionsumfangs

Für CVE-2026-93680 existiert bereits ein öffentlich verfügbarer Modul im Metasploit Framework. Das Modul verbindet sich ohne Zugangsdaten mit dem MCP-SSE-Endpunkt des Langflow-Servers, initialisiert eine Session und ruft die Liste der verfügbaren Tools ab. Das Modul führt keinen beliebigen Code aus und startet keine Kommandos auf dem Server, demonstriert aber die praktische Ausnutzbarkeit der Umgehung der Authentifizierung. Nach bisher vorliegenden Informationen wurden diese Schwachstellen bislang nicht nachweislich in realen Angriffen ausgenutzt – keine der vier CVEs ist mit Stand 30. Oktober 2026 im CISA-KEV-Katalog aufgeführt.

Ein wesentlicher Punkt: Der Autor des Metasploit-Moduls gibt den betroffenen Versionsbereich mit 1.5.0–1.11.4 an, während IBM ihn weiter fasst – 1.0.0–1.12.8. Diese Diskrepanz ist bisher ungeklärt: Der von Rapid7 genannte Bereich bezieht sich auf das konkrete Modul und widerlegt nicht den weiter gefassten Umfang, den IBM im Rahmen des produktspezifischen Sicherheitshinweises angibt.

Die Rolle des automatischen Logins in der Risikobewertung

Das tatsächliche Gefährdungsniveau hängt nicht nur von der Version, sondern auch von der Authentifizierungskonfiguration ab. Die Analyse des Quellcodes von Langflow 1.12.8 zeigt, dass der Parameter LANGFLOW_AUTO_LOGIN standardmäßig aktiviert ist. Bei aktivem Auto-Login authentifiziert das System Benutzer als Superuser, ohne Zugangsdaten abzufragen. Der Code selbst enthält eine Warnung: Diese Funktion „umgeht die Authentifizierung und sollte nur in Entwicklungsumgebungen verwendet werden“. Das Metasploit-Modul wurde explizit mit Langflow 1.8.4 bei aktiviertem Auto-Login getestet. IBM präzisiert jedoch nicht, ob Server mit deaktiviertem Auto-Login ebenfalls verwundbar sind.

Langflow 1.13.0, veröffentlicht am 22. Oktober 2026, deaktiviert Auto-Login standardmäßig. Das bedeutet: Beim Upgrade von Versionen, in denen Auto-Login aktiv war, muss ein bestehendes Benutzerkonto vorab für die Anmeldung per Passwort vorbereitet werden – andernfalls geht der Zugriff auf das System nach dem Update verloren.

Empfehlungen für das Update

IBM stellt keine Workarounds bereit – die einzige Empfehlung ist das Update auf Version 1.13.0. Das empfohlene Vorgehen gemäß der Langflow-Dokumentation und dem IBM-Sicherheitshinweis:

1. Erstellen Sie ein Backup der Datenbank, des Secret Keys und der hochgeladenen Dateien.
2. Wenn der Server Auto-Login verwendet, bereiten Sie ein bestehendes Benutzerkonto vor dem Update für die Passwort-Anmeldung vor.
3. Aktualisieren Sie das Python-Paket: pip install --upgrade "langflow==1.13.0". Für Docker – wechseln Sie auf das Image langflowai/langflow:1.13.0 und stellen Sie sicher, dass persistente Deployments-Daten erhalten bleiben.
4. Wenn ein Login nach dem Update nicht möglich ist, verwenden Sie das Wiederherstellungsverfahren aus der Dokumentation. Löschen oder reinstallieren Sie Langflow nicht – dies kann zum irreversiblen Verlust von Workflows führen.

Zur Erkennung möglicher Ausnutzungsversuche sollten Zugriffs- und Anwendungsprotokolle auf nicht authentifizierte Anfragen an den MCP-SSE-Endpunkt und nachfolgende Initialisierung von MCP-Sessions untersucht werden – genau diesen Angriffsweg nutzt das öffentliche Metasploit-Modul.

Langflow-Schwachstellen im größeren Kontext

Der aktuelle Sicherheitshinweis ist nicht der einzige. Am 29. Oktober veröffentlichte IBM zudem CVE-Einträge zu 29 weiteren Schwachstellen in Langflow, die in den Versionen 1.12.4 und 1.12.5 behoben wurden. Darunter befindet sich CVE-2026-104339 mit einem CVSS-Score von 9.8, die einem nicht authentifizierten Angreifer ebenfalls die Ausführung beliebigen Codes ermöglicht. Diese Schwachstelle betrifft die Versionen 1.0.0–1.12.3 und ist in 1.12.4 behoben. Keiner der 33 CVE-Einträge weist Version 1.13.0 als verwundbar aus.

Zuvor hatten wir bereits über die Langflow-Schwachstelle CVE-2026-9198 geschrieben, die im August 2026 in den CISA-KEV-Katalog aufgenommen wurde. Die aktuellen vier Schwachstellen sind bislang nicht im KEV-Katalog verzeichnet, allerdings erhöhen das Vorhandensein eines öffentlichen Exploits für CVE-2026-93680 und das Fehlen von Workarounds die Priorität für Gegenmaßnahmen.

Organisationen, die Langflow OSS einsetzen, sollten umgehend auf Version 1.13.0 aktualisieren, nachdem sie Backups erstellt und Benutzerkonten vorbereitet haben. Das Patch-Management für Langflow erfordert die parallele Beachtung mehrerer IBM-Sicherheitshinweise: Läuft Ihre Installation auf einer Version unter 1.12.4, ist sie zusätzlich für die separate kritische RCE-Schwachstelle CVE-2026-104339 anfällig, und ein einfaches Update auf eine Zwischenversion reicht nicht aus – erforderlich ist direkt der Wechsel auf 1.13.0.