IBM Langflow CVE-2026-9198: Unauthentifizierter Code Injection auf Default-Deployments

CISA hat am 4. August 2026 IBM Langflow in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Die Schwachstelle CVE-2026-9198 erlaubt es unautentifizierten Angreifern, auf Default-Deployments volle Remote Code Execution zu erlangen. Wer Langflow on-premises betreibt, muss die Installation sofort prüfen und auf Version 1.10.1 aktualisieren.

Was ist passiert?

IBM Langflow ist eine Low-Code-Plattform zum erstellen von KI-Agenten und Workflows. Die Schwachstelle kombiniert zwei Endpunkte: Der /api/v1/auto_login-Endpoint generiert Superuser-Token für jeden Netzwerkaufruf, der /api/v1/validate/code-Endpoint führt Benutzercode via exec() aus. Zusammen erlauben sie einem unauthentifizierten Angreifer, beliebigen Code als Superuser auszuführen. Der Angriff benötigt keine Credentials und funktioniert auf Default-Deployments ohne besondere Konfiguration.

Wer ist betroffen?

1. Betroffen: IBM Langflow OSS Versionen 1.0.0 bis 1.10.0 mit aktivem auto_login-Endpoint (Default-Zustand).
2. Nicht betroffen: Langflow-Versionen ab 1.10.1, gehostete Cloud-Instanzen mit deaktiviertem auto_login, Instanzen hinter Authentifizierung.
3. Angriffspfad: Remote, unauthentifiziert, über HTTP, kombiniert zwei Endpunkte zu vollem RCE.

Wie kritisch ist das?

CVSS 9.8 und CISA KEV-Eintrag machen diese Schwachstelle zu einer höchsten Priorität. Der Angriff ist einfach zu reproduzieren, benötigt keine speziellen Kenntnisse und funktioniert auf unkonfigurierten Default-Installations. Für Unternehmen, die Langflow für interne KI-Workflows einsetzen, besteht die Gefahr einer vollständigen Kompromittierung des Host-Systems.

Was sollten Admins jetzt tun?

1. Sofort prüfen: Langflow-Version unter pip show langflow oder im Admin-Dashboard prüfen. Gesucht: Version 1.10.0 oder älter.
2. Upgrade durchführen: Auf Version 1.10.1 aktualisieren (pip install langflow==1.10.1 oder Docker-Image aktualisieren).
3. auto_login deaktivieren: Falls Upgrade nicht sofort möglich: auto_login-Endpoint in der Konfiguration deaktivieren.
4. Netzwerkzugriff einschränken: Langflow-Interface nur aus vertrauenswürdigen Netzwerken erreichbar machen.
5. Logs prüfen: Unbekannte Aufrufe auf /api/v1/auto_login und /api/v1/validate/code im Zeitraum seit Bekanntwerden der Schwachstelle prüfen.

Einordnung für Unternehmen

Langflow wird häufig für prototypische KI-Agenten und interne Workflows eingesetzt. Gerade in Umgebungen, in denen Langflow intern bereitgestellt wird (oft ohne externe Authentifizierung), ist die Default-Konfiguration kritisch. Admins, die Langflow über Docker betreiben, sollten das Image aktualisieren und den auto_login-Endpoint deaktivieren oder absichern.

Passende Anleitungen auf S-EDV

1. Langflow CVE-2026-5027: Angriffe auf KI-Workflow-Plattform – Vorgeschichte der Langflow-Sicherheitsprobleme und wie man die Plattform absichert.

Quellen

1. NVD: CVE-2026-9198
2. CISA KEV Catalog
3. F1TYM1: Critical Code Injection in IBM Langflow
4. BleepingComputer: CISA warns of Langflow exploitation