IBM розкрила чотири вразливості в Langflow — дві з оцінкою CVSS 9.8 дають змогу виконувати код без автентифікації

Langflow OSS — популярний інструмент з відкритим вихідним кодом для побудови AI-агентів і робочих процесів — містить чотири вразливості, дві з яких дозволяють віддаленому зловмиснику без облікового запису обійти автентифікацію або виконати довільний код на сервері. Згідно з бюлетенем безпеки IBM, опублікованим 28 жовтня 2026 року, уразливі всі версії з 1.0.0 до 1.12.8. Єдине виправлення — оновлення до версії 1.13.0. Проміжних тимчасових рішень IBM не пропонує, що робить оновлення невідкладним для всіх операторів Langflow.

Деталі вразливостей

Бюлетень IBM описує чотири вразливості з різними векторами атаки та рівнями критичності:

• CVE-2026-93680 (CVSS 9.8, IBM) — обхід автентифікації (CWE-287). Дозволяє віддаленому зловмиснику обходити обмеження безпеки через некоректну автентифікацію.
• CVE-2026-110186 (CVSS 9.8, IBM) — виконання довільного коду без автентифікації (CWE-94). За даними IBM, експлуатація можлива через перерахування інструментів Model Context Protocol (MCP) — протоколу, через який Langflow надає свої потоки як інструменти для AI-застосунків.
• CVE-2026-110193 (CVSS 8.8, IBM) — виконання команд ОС (CWE-94). Потребує автентифікації з мінімальними привілеями: зловмисник може змусити вбудованого AI-асистента Langflow згенерувати або надіслати код компонента, що призводить до виконання довільних команд операційної системи.
• CVE-2026-110192 (CVSS 6.5, IBM) — розкриття конфіденційної інформації (CWE-522). Автентифікований зловмисник може отримати чутливі дані через недостатній захист облікових даних.

Публічний експлойт і розбіжності в охопленні версій

Для CVE-2026-93680 вже існує публічний модуль у Metasploit Framework. Модуль підключається до кінцевої точки MCP SSE сервера Langflow без облікових даних, ініціалізує сесію та витягує список доступних інструментів. Модуль не виконує довільний код і не запускає команди на сервері, однак демонструє практичну експлуатованість обходу автентифікації. Згідно з наявними даними, підтвердженої експлуатації цих вразливостей у реальних атаках поки що не зафіксовано — жодна з чотирьох CVE станом на 30 жовтня 2026 року не внесена до каталогу CISA KEV.

Важлива деталь: автор модуля Metasploit вказує діапазон уразливих версій як 1.5.0–1.11.4, тоді як IBM визначає його ширше — 1.0.0–1.12.8. Ця розбіжність лишається невирішеною: діапазон Rapid7 стосується конкретного модуля і не спростовує ширше охоплення, заявлене IBM у продуктовому бюлетені.

Роль автоматичного входу в оцінці ризику

Реальний рівень вразливості залежить не лише від версії, а й від конфігурації автентифікації. Аналіз вихідного коду Langflow 1.12.8 показує, що параметр LANGFLOW_AUTO_LOGIN увімкнений за замовчуванням. За активного автоматичного входу система авторизує користувачів як суперкористувачів без запиту облікових даних. Сам код містить попередження: цю функцію «обхід автентифікації і її слід використовувати лише в середовищах розробки». Модуль Metasploit тестували саме на Langflow 1.8.4 з увімкненим автоматичним входом. Водночас IBM не уточнює, чи вразливі сервери з вимкненим автоматичним входом.

Langflow 1.13.0, випущений 22 жовтня 2026 року, вимикає автоматичний вхід за замовчуванням. Це означає, що під час оновлення з версій, де автоматичний вхід був активним, потрібно підготувати наявний обліковий запис для входу за паролем — інакше доступ до системи після оновлення буде втрачено.

Рекомендації щодо оновлення

IBM не надає проміжних тимчасових рішень — єдина рекомендація полягає в оновленні до версії 1.13.0. Порядок дій, згідно з документацією Langflow і бюлетенем IBM:

1. Створіть резервну копію бази даних, секретного ключа та завантажених файлів.
2. Якщо сервер використовує автоматичний вхід, підготуйте наявний обліковий запис для входу за паролем до оновлення.
3. Оновіть пакет Python: pip install --upgrade "langflow==1.13.0". Для Docker — перейдіть на образ langflowai/langflow:1.13.0, зберігши постійні дані розгортання.
4. Якщо після оновлення вхід неможливий, скористайтеся процедурою відновлення з документації. Не видаляйте й не перевстановлюйте Langflow — це може призвести до незворотної втрати робочих процесів.

Щоб виявити можливі спроби експлуатації, варто перевірити журнали доступу й застосунку на наявність неавтентифікованих запитів до кінцевої точки MCP SSE та подальшої ініціалізації MCP-сесій — саме цей вектор використовує публічний модуль Metasploit.

Ширший контекст вразливостей Langflow

Поточний бюлетень — не єдиний. 29 жовтня IBM також опублікувала записи CVE для ще 29 вразливостей Langflow, усунених у версіях 1.12.4 та 1.12.5. Серед них — CVE-2026-104339 з оцінкою CVSS 9.8, яка також дає змогу неавтентифікованому зловмиснику виконувати довільний код. Ця вразливість зачіпає версії 1.0.0–1.12.3 і виправлена у 1.12.4. Жоден із 33 CVE-записів не позначає версію 1.13.0 як вразливу.

Раніше ми вже писали про вразливість Langflow CVE-2026-9198, яку було додано до каталогу CISA KEV у серпні 2026 року. Поточні чотири вразливості до каталогу KEV поки не внесені, однак наявність публічного експлойта для CVE-2026-93680 та відсутність тимчасових рішень підвищують пріоритет реагування.

Організаціям, які використовують Langflow OSS, слід негайно оновитися до версії 1.13.0, попередньо виконавши резервне копіювання й підготовку облікових записів. Відстеження патчів для Langflow вимагає уваги до кількох бюлетенів IBM одночасно: якщо ваша інсталяція працює на версії нижче 1.12.4, вона також уразлива до окремої критичної RCE-вразливості CVE-2026-104339, і простого оновлення до проміжної версії недостатньо — потрібен перехід відразу на 1.13.0.