Eine kritische Sicherheitslücke im KI-Workflow-Tool Langflow wird seit Ende August aktiv ausgenutzt. Über CVE-2026-0768 (CVSS 9.8) können nicht authentifizierte Angreifer aus der Ferne beliebigen Code als root ausführen – einen Hersteller-Patch, der die Lücke gezielt schließt, gibt es bislang nicht.
Was die Lücke so gefährlich macht
Der Fehler steckt im Code-Validator des Custom-Component-Editors. Der validate-Endpunkt nimmt über den Parameter code einen vom Nutzer gelieferten String entgegen und führt ihn ohne ausreichende Prüfung als Python-Code aus. Weil dafür keine Anmeldung nötig ist, genügt der Netzwerkzugriff auf eine offen erreichbare Instanz, um Befehle mit root-Rechten abzusetzen. Entdeckt und im Rahmen von Trend Micros Zero Day Initiative (ZDI-26-034) gemeldet wurde die Schwachstelle bereits im Juli 2025; veröffentlicht wurde sie im Januar 2026 als Zero-Day.
Hunderte Angriffsversuche binnen Stunden
Am 30. August 2026 registrierte der Sicherheitsdienstleister VulnCheck die ersten Exploit-Versuche – zunächst rund 50, binnen eines Wochenendes stieg die Zahl auf etwa 360. Die Angreifer betreiben vor allem Reconnaissance und Credential-Harvesting: Sie fragen Umgebungsvariablen wie LANGFLOW_SUPERUSER sowie OpenAI- und AWS-Schlüssel ab und lesen Dateien wie /root/.cache/langflow/secret_key aus. Der Großteil des Traffics stammt laut VulnCheck aus Russland. Auf der CISA-KEV-Liste steht CVE-2026-0768 – anders als mehrere andere Langflow-Lücken – bislang nicht.
Warum das über Langflow hinaus zählt
Langflow steht sinnbildlich für eine ganze Klasse selbstgehosteter KI-Baukästen, die Nutzer schnell und oft ohne Härtung ins Netz stellen. Genau dort sammeln sich API-Schlüssel und Secrets, die einen Server zum Sprungbrett für weitere Angriffe machen. Weil ein dedizierter Fix fehlt, nennt die ZDI als einzig belastbare Maßnahme, den Zugriff auf das Produkt einzuschränken:
- Betroffen: alle Langflow-Releases bis einschließlich 1.4.2 (ein Hersteller-Patch speziell für CVE-2026-0768 ist nicht bestätigt)
- Langflow niemals offen ins Internet stellen – nur hinter VPN, Auth-Proxy oder WAF betreiben
- Auf die aktuell gepflegte Langflow-Version aktualisieren und Logs auf verdächtige validate-Anfragen mit Python-Code prüfen
- Exponierte Secrets (OpenAI-, AWS-, Superuser-Zugänge) umgehend rotieren
Quellen: Zero Day Initiative (ZDI-26-034), SecurityWeek, The Hacker News, OpenCVE.
