CISA додала до каталогу Known Exploited Vulnerabilities (KEV) три вразливості з підтвердженою активною експлуатацією: критичну RCE в Langflow (CVE-2026-9198, CVSS 9.8), обхід шифрування в Apache Tomcat (CVE-2026-34486, CVSS 7.5) та обхід автентифікації в N-able N-central (CVE-2026-18556, CVSS 8.2). Федеральні цивільні відомства США зобов’язані усунути ці вразливості до 7 серпня 2026 року. Особливу увагу привертає атрибуція експлуатації Tomcat: за даними Unit 42, вона пов’язана з автономною кампанією, у якій китайськомовний зловмисник використовував DeepSeek як наступального оператора.
Технічні деталі вразливостей
CVE-2026-9198 — віддалене виконання коду в Langflow
Вразливість типу «впровадження коду» в платформі розробки ШІ-застосунків Langflow дає змогу неавтентифікованому атакувальнику досягти повного віддаленого виконання коду на типових розгортаннях. Оцінка CVSS — 9.8 (критична). Виправлення випущене в липні 2026 року у версії 1.10.1. Подробиці щодо конкретних сценаріїв експлуатації наразі не розкрито, однак Langflow упродовж останніх місяців неодноразово ставав мішенню зловмисників.
CVE-2026-34486 — обхід шифрування в Apache Tomcat
Вразливість у Apache Tomcat пов’язана з відсутністю шифрування чутливих даних у компоненті кластеризації EncryptInterceptor, який забезпечує шифрування повідомлень між вузлами кластера з використанням попередньо узгодженого ключа. Обхід цього механізму (CVSS 7.5) дає змогу атакувальнику перехоплювати або підмінювати міжвузловий трафік. Згідно з офіційним повідомленням Apache, виправлення доступне з квітня 2026 року у версіях 11.0.21, 10.1.54 і 9.0.117.
CVE-2026-18556 і CVE-2026-18577 — обхід автентифікації в N-able N-central
Вразливість обходу автентифікації в платформі віддаленого керування N-able N-central (CVSS 8.2) привернула окрему увагу через неповноту початкового виправлення. Компанія N-able випустила повторний патч, якому присвоєно ідентифікатор CVE-2026-18577 (CVSS 8.2). Показово, що CVE-2026-18577 уже була внесена до KEV раніше, а додавання початкової CVE-2026-18556 підтверджує, що обидві вразливості активно експлуатуються зловмисниками. Це означає, що організації, які застосували лише перший патч, залишаються вразливими.
Контекст загрози: автономна ШІ-кампанія
Найважливішим аспектом цього оновлення KEV є контекст експлуатації CVE-2026-34486. За даними дослідження Palo Alto Networks Unit 42, експлуатація цієї вразливості пов’язана з автономною хакерською кампанією, організованою китайськомовним зловмисником, який діє під псевдонімами knaithe і KnYuan. Ймовірно, зловмисник базується в Чжухаї (Китай).
Згідно зі звітом Unit 42, зловмисник використовував модель DeepSeek через фреймворк Hermes Agent як автономного наступального оператора для атак на пристрої, доступні з інтернету. Коли початкові спроби експлуатації вразливості Langflow (CVE-2026-33017, CVSS 9.8) зазнали невдачі через обмежувальні конфігурації цільового середовища, ШІ-агент, як повідомляється, самостійно провів розвідку в пошуку альтернативних вразливостей, зокрема вразливостей у платформі автоматизації n8n.
Паралельно цей самий зловмисник виконував ручні операції з використанням відомих вразливостей у Citrix NetScaler (CVE-2026-3055), Marimo (CVE-2026-39987), Apache Tomcat (CVE-2026-34486) і IKE VPN (CVE-2026-33824).
За оцінкою Unit 42, зловмисник атакував понад 460 цілей, поєднуючи автономні та ручні методи. Дослідники наголошують, що зловмисник, вочевидь, дозволяв DeepSeek звужувати коло цілей — ймовірно, щоб заощадити обчислювальні ресурси ШІ. Автономний процес ідентифікації цілей, відбору та звуження охоплення виконав за лічені хвилини роботу, яка потребувала б сотень годин ручного аналізу.
Слід враховувати, що атрибуція кампанії ґрунтується на єдиному дослідницькому звіті Unit 42 й не підтверджена незалежно державними чи іншими джерелами.
Оцінка впливу
Сукупність цих вразливостей створює широку поверхню атаки, що зачіпає кілька категорій організацій:
- Команди розробки ШІ-застосунків, які використовують Langflow, — критична RCE без автентифікації на типових розгортаннях означає, що будь-який екземпляр Langflow, доступний з інтернету, може бути повністю скомпрометований.
- Оператори кластерів Apache Tomcat — обхід EncryptInterceptor ставить під загрозу конфіденційність міжвузлового обміну даними, що особливо критично для розподілених систем, які обробляють чутливу інформацію.
- Провайдери керованих ІТ-послуг (MSP), які використовують N-able N-central, — обхід автентифікації в платформі віддаленого керування потенційно відкриває доступ до всієї інфраструктури клієнтів MSP.
Поява автономних ШІ-агентів в арсеналі зловмисників якісно змінює динаміку атак: масштаб розвідки та швидкість перемикання між цілями й вразливостями виходять за межі можливостей ручного тестування.
Практичні рекомендації
- Langflow: негайно оновити до версії 1.10.1 або вище. Перевірити, чи доступні екземпляри Langflow з інтернету, і за відсутності бізнесової необхідності обмежити доступ засобами мережевої сегментації.
- Apache Tomcat: оновити до версій 11.0.21, 10.1.54 або 9.0.117 залежно від використовуваної гілки. Перевірити конфігурацію EncryptInterceptor у кластерних розгортаннях і переконатися, що міжвузловий трафік не проходить через недовірені мережі.
- N-able N-central: переконатися, що встановлено патч, який закриває обидві вразливості — CVE-2026-18556 і CVE-2026-18577. Початкове виправлення було неповним, і застосування лише одного патча не забезпечує захист.
- Провести аудит мережевого периметра на наявність відкритих екземплярів Langflow, Tomcat, N-central, а також згаданих у кампанії Citrix NetScaler, Marimo, n8n та IKE VPN.
- Для федеральних відомств США (FCEB): крайній термін усунення — 7 серпня 2026 року.
Три вразливості, додані до KEV, потребують негайного патчінгу — особливо з огляду на те, що щонайменше одна з них експлуатується в межах автоматизованої кампанії із застосуванням ШІ-агента, здатного самостійно обирати цілі й перемикатися між вразливостями. Організаціям, які використовують Langflow, Apache Tomcat у кластерній конфігурації або N-able N-central, варто розглядати оновлення як пріоритет першого рівня та паралельно перевірити журнали на ознаки компрометації за період до виходу патчів.
