Langflow Sicherheitslücke CVE-2026-9198: KI-Baukasten als Hintertür

Die CISA hat am 4. August 2026 eine neue Langflow Sicherheitslücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. CVE-2026-9198 trägt einen CVSS-Wert von 9,8 und erlaubt es nicht authentifizierten Angreifern, aus der Ferne beliebigen Code auf einer Standard-Installation von Langflow auszuführen. Der visuelle Baukasten für KI-Workflows wird damit zum offenen Einfallstor.

Was die Langflow Sicherheitslücke so gefährlich macht

Langflow ist ein beliebtes Open-Source-Werkzeug, um KI-Agenten und LLM-Pipelines per Drag-and-drop zusammenzuklicken. Genau diese Offenheit wird zum Problem. Der Angriff läuft über eine Kette aus zwei Schnittstellen: Zuerst ruft ein Angreifer den Endpunkt /api/v1/auto_login auf und erhält – in der Standardkonfiguration ganz ohne Zugangsdaten – ein gültiges SUPERUSER-Token. Mit diesem Token erreicht er anschließend /api/v1/validate/code. Dieser Endpunkt reicht vom Nutzer übergebenen Python-Code direkt an die Funktion exec() weiter.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Das Ergebnis ist eine vollständige Remote-Code-Ausführung ohne Anmeldung. Betroffen sind laut Advisory alle Versionen von IBM Langflow OSS von 1.0.0 bis 1.10.0. IBM hatte die Lücke bereits am 17. Juli offengelegt und mit der Version 1.10.1 geschlossen. Inzwischen kursiert ein öffentlicher Proof-of-Concept. Die CISA stuft die Lücke als aktiv ausgenutzt ein – konkrete Details zu den Angriffen hat die Behörde bislang nicht veröffentlicht.

Kein Einzelfall bei Langflow

Langflow steht nicht zum ersten Mal im Fokus. Bereits im Juli sorgten zwei weitere Lücken für Aufsehen – von der aktiv angegriffenen CVE-2026-55255 bis zu einer Schwachstelle, über die Angreifer heimlich Kryptowährung schürften. Das Muster ist klar: KI-Tools werden schnell produktiv eingesetzt, aber selten wie klassische Server abgesichert.

Was Admins jetzt tun sollten

Die Prioritäten sind eindeutig. Aktualisieren Sie Langflow umgehend auf Version 1.10.1 oder neuer. Für US-Bundesbehörden hat die CISA eine Frist bis zum 7. August 2026 gesetzt – ein guter Richtwert auch für alle anderen.

• Nicht ins Internet stellen: Langflow-Instanzen gehören hinter ein VPN oder einen Reverse-Proxy mit Authentifizierung, niemals offen erreichbar.
• Standard-Login abschalten: Die automatische SUPERUSER-Anmeldung (AUTO_LOGIN) deaktivieren und echte Zugangsdaten erzwingen.
• Protokolle prüfen: Zugriffe auf /api/v1/auto_login und /api/v1/validate/code im Nachhinein kontrollieren.

Wer KI-Werkzeuge wie Langflow lieber kontrolliert im eigenen Netz betreibt, findet in unserem Ratgeber zur Hardware für lokale KI die passende Grundlage für ein abgeschottetes Setup.

Fazit

CVE-2026-9198 zeigt einmal mehr, dass ein KI-Baukasten dieselbe Sorgfalt braucht wie jeder andere Server. Ein Update auf 1.10.1 und ein sauberer Zugriffsschutz nehmen der Lücke schnell die Schärfe. Wer beides ignoriert, riskiert die komplette Übernahme seiner KI-Infrastruktur.

Quellen

• CISA – Adds Three Known Exploited Vulnerabilities to Catalog (04.08.2026)
• The Hacker News – CISA Flags Langflow RCE, Tomcat, and N-central Flaws
• SecurityWeek – CISA Warns of Exploited Langflow, N-central, and Tomcat Vulnerabilities
• CIRCL Vulnerability-Lookup – CVE-2026-9198