Die Langflow-Lücke CVE-2026-9198 steht seit dem 4. August 2026 in CISAs Katalog der aktiv ausgenutzten Schwachstellen.[2] Betroffen ist der Open-Source-Baukasten, mit dem Entwickler KI-Agenten per Drag-and-drop zusammensetzen und den IBM mit der Übernahme von DataStax erbte. Der Angriff braucht zwei HTTP-Aufrufe und kein Passwort.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Fehler sitzt nicht im Modell, sondern in der Standardkonfiguration. Langflow zählt 152.864 Sterne auf GitHub (Stand 5. August 2026) und läuft in vielen Unternehmen als Prototyping-Werkzeug neben der Produktion. Genau solche Nebenschauplätze stehen selten im Patch-Plan.
Das Wichtigste in Kürze
- CVE-2026-9198 erreicht den CVSS-Basiswert 9,8 und erlaubt Codeausführung ohne Anmeldung.
- Betroffen sind Langflow OSS 1.0.0 bis 1.10.0, IBM behebt den Fehler in Version 1.10.1.
- CISA nahm den Eintrag am 4. August 2026 auf und setzte US-Bundesbehörden eine Frist bis zum 7. August.
- Ab dem 11. September 2026 melden Hersteller aktiv ausgenutzte Lücken binnen 24 Stunden an ENISA.
Wie kommt ein Angreifer ohne Passwort in Langflow?
Zwei Endpunkte reichen. Der Pfad /api/v1/auto_login gibt in der Standardeinstellung ein Superuser-Token an jeden Aufrufer im Netz heraus. Mit diesem Token nimmt der Pfad /api/v1/validate/code beliebigen Python-Code entgegen und führt ihn über exec() aus.[1]
Der Schadcode läuft, bevor die Funktion je aufgerufen wird. Python wertet Dekoratoren, Vorgabewerte und Annotationen bereits bei der Definition aus, weshalb ein präparierter Funktionskopf genügt.[1] Die Codeprüfung wird damit selbst zur Ausführungsumgebung. Vergleichbare Muster kennt die Branche aus der Übernahme der SD-WAN-Zentrale von Arista, auch dort öffnete ein einziger unauthentifizierter Pfad das ganze System.
Warum trifft dieselbe Lücke Langflow zum zweiten Mal?
Der Präzedenzfall liegt 14 Monate zurück. Im Juni 2025 dokumentierte Trend Micro, wie Angreifer über CVE-2025-3248 denselben Pfad /api/v1/validate/code ansteuerten und das Flodrix-Botnetz auf Langflow-Servern ausrollten.[3] Die Nutzlast steckte damals in Vorgabewerten und Dekoratoren, exakt wie heute.
IBM schloss die alte Lücke in Version 1.3.0 mit einer Anmeldepflicht für den Pfad. Der Codeausführer dahinter blieb unangetastet. CVE-2026-9198 umgeht diese Anmeldepflicht nicht, sondern erfüllt sie: Das Superuser-Token aus dem Auto-Login-Pfad ist gültig. Eine Anmeldepflicht vor einem Interpreter trägt nur so lange, wie niemand die Token verschenkt. Denselben Effekt zeigte der zweite Weg um ServiceNows Sandbox vier Tage nach dem Patch.
Sofortmaßnahme für Betreiber
Langflow-Instanz aus dem Internet nehmen, Version auf mindestens 1.10.1 heben, Auto-Login deaktivieren. Öffentliche Exploits kursieren seit Ende Juli 2026.
IBM verriegelte 2025 die Tür und legte 2026 den Schlüssel daneben. Prototyping-Werkzeuge im Firmennetz gehören in denselben Patch-Plan wie die Produktion.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet die Langflow-Lücke für Unternehmen in der EU?
Der Cyber Resilience Act verschiebt die Meldelast ab dem 11. September 2026. Von diesem Tag an schicken Hersteller vernetzter Produkte jede aktiv ausgenutzte Schwachstelle binnen 24 Stunden als Frühwarnung an ENISA und das zuständige CSIRT. Nach 72 Stunden folgt der ausführliche Bericht, 14 Tage nach dem Sicherheitsupdate der Abschluss.[4] Ein Fall wie dieser fiele künftig unter genau diese Frist. Der Bußgeldrahmen reicht bis 15 Mio. Euro.
Für Betreiber zählt heute etwas anderes. Prüfen Sie, ob eine Langflow-Instanz aus dem Netz erreichbar ist, heben Sie die Version mindestens auf 1.10.1 und schalten Sie den Auto-Login ab. Unter NIS2 gehört ein aktiv ausgenutzter Eintrag aus dem KEV-Katalog ohnehin in die Risikobewertung, wie der Überblick zu Cybersecurity als Chefsache zeigt.
Die Rechnung für vergessene Systeme steht längst fest: IBM beziffert die durchschnittliche KI-gestützte Datenpanne auf 5,22 Millionen Euro. Wie schnell ein Agenten-Werkzeug aus dem Testbetrieb in echte Systeme greift, zeigten zuletzt drei Einbrüche aus Anthropics Testumgebung. Setzen Sie Langflow auf dieselbe Inventarliste wie Ihre Produktionsserver und begrenzen Sie den Netzzugriff auf das interne Segment.
Quellen
[1] IBM: „Security Bulletin: Unauthenticated Remote Code Execution via Auto-Login Bypass and Code Validation“
[2] CISA: „Known Exploited Vulnerabilities Catalog“
[3] Trend Micro: „Critical Langflow Vulnerability (CVE-2025-3248) Actively Exploited to Deliver Flodrix Botnet“
[4] BSI: „Cyber Resilience Act“
Mehr Newshunger?
- Keyv kompromittiert: Der Angriff auf die npm-Lieferkette läuft noch
- Kritischer CVE-Eintrag für eine halluzinierte SQLite-Lücke
- 16,4 Millionen Linux-Systeme: RefluXFS verschafft jedem lokalen Nutzer Root-Rechte
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- TeamViewer für macOS: Eine Logiklücke umgeht die Zwei-Faktor-Pflicht
- Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust
