Zwei Aufrufe verwandeln eine Standardinstallation in Root

CVE-2026-9198 ist eine Code-Injection-Schwachstelle in Langflow, der quelloffenen Plattform zum visuellen Bau von KI-Agenten-Workflows, mit einem CVSS-Wert von 9,8 von 10. Der Weg zur vollständigen Kompromittierung braucht genau zwei Anfragen. Die erste trifft den Endpunkt /api/v1/auto_login, der in der Standardkonfiguration nicht auf die lokale Maschine beschränkt ist und jedem Aufrufer im Netzwerk ohne Zugangsdaten ein SUPERUSER-Token ausstellt. Die zweite Anfrage nutzt dieses Token gegen /api/v1/validate/code, einen Endpunkt, der vom Angreifer gelieferten Python-Code über die Funktion exec() ausführt.

IBM, das die Verantwortung für das Langflow-Projekt übernommen hat und es als Langflow OSS pflegt, veröffentlichte die Schwachstelle und Version 1.10.1 mit dem Fix am selben Tag, dem 17. Juli 2026. Betroffen sind die Versionen 1.0.0 bis 1.10.0. Eine Teilentschärfung ohne Upgrade gibt es nicht: Da der Fehler im unauthentifizierten Standardverhalten liegt, schließt nur eine Beschränkung des Netzwerkzugriffs auf den Langflow-Host die Lücke tatsächlich als Übergangsmaßnahme.

756 Versuche, 295 Angreifer, 42 Länder bis zum 12. August

Am 21. Juli 2026, vier Tage nach Erscheinen des Patches, ging ein öffentlicher Proof-of-Concept für die Angriffskette online, und die Ausnutzung nahm danach spürbar zu. Das auf Schwachstellen-Telemetrie spezialisierte Unternehmen KEVIntel, das eigene Sensoren zur Erfassung realer Angriffsversuche gegen katalogisierte Lücken betreibt, verzeichnete zwischen dem 6. Juli und dem 12. August 2026 insgesamt 756 Ausnutzungsversuche aus 295 eindeutigen Angreifer-IP-Adressen in 42 Ländern.

Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-9198 am 4. August in ihren Known-Exploited-Vulnerabilities-Katalog auf und bestätigte damit, dass es sich um echte Kompromittierungsversuche und nicht um bloßes Scan-Rauschen handelte. Der EPSS-Wert der Schwachstelle, ein Modell, das die Ausnutzungswahrscheinlichkeit innerhalb der nächsten 30 Tage schätzt, liegt bei 17,4 Prozent - für eine Lücke mit öffentlichem Proof-of-Concept ein bemerkenswerter Wert, da die meisten katalogisierten CVEs diese Marke nie erreichen.

Warum ein Prototyping-Werkzeug offen im Internet landete

Langflow wurde dafür entwickelt, dass auch fachfremde Personen ohne viel Programmieraufwand schnell einen funktionierenden KI-Agenten zusammenklicken können - und genau deshalb verbreitet es sich in Unternehmen so, wie es das tut. Ein Data Scientist oder Produktmanager kann an einem Nachmittag eine Instanz auf einem Laptop, einem geteilten Server oder einer Cloud-VM aufsetzen, ohne ein Ticket bei der zentralen IT und ohne Eintrag in irgendeinem Sicherheitsregister.

Sicherheitsteams nennen dieses Muster zunehmend Schatten-KI: Werkzeuge, die einem echten, oft legitimen Geschäftsbedarf dienen, aber außerhalb der Change-Management- und Asset-Inventar-Prozesse laufen, die eine solche Schwachstelle normalerweise sofort zur Patch-Pflicht machen würden. Die 295 von KEVIntel beobachteten Angreifer-IP-Adressen brauchten keine Zielliste. Das Standardverhalten von auto_login ist im Internetmaßstab durchsuchbar, und eine Instanz, an die sich niemand mehr erinnert, ist genau die, die den Hinweis nie erreicht.

Was das für den nächsten Patch-Zyklus bedeutet - nicht nur für diesen

Für jede Organisation in der EU oder im Vereinigten Königreich, die die Risikomanagement-Pflichten aus Artikel 21 der NIS2-Richtlinie umsetzt, liegt die eigentliche Lehre nicht in der CVE selbst, denn der Fix ist ein einzeiliges Versionsupdate. Sie liegt darin, dass die dort geforderte Sichtbarkeit über Netz- und Informationssysteme auch Instanzen erfassen muss, die Fachbereiche und nicht die IT in Betrieb genommen haben. Das BSI kann eine solche Schwachstelle in seinen Warnungen veröffentlichen, aber es kann das Schatten-KI-Inventar eines Unternehmens nicht für dieses Unternehmen führen.

Die praktische Reaktion dieser Woche hat drei Teile: einen externen Scan auf offene /api/v1/auto_login-Endpunkte über alle Subnetze und Cloud-Konten der Organisation, nicht nur die bereits von der IT erfassten; das Upgrade jeder gefundenen Langflow-Instanz auf Version 1.10.1 oder neuer; und diesen Vorfall zum Anlass zu nehmen, jedes Produkt- und Datenteam direkt zu fragen, welche KI-Werkzeuge es in den vergangenen zwölf Monaten eigenständig aufgesetzt hat.

Weiterlesen: Der ausgenutzte Cisco-Fehler bekam nur 5,3  |  45.601 Lücken, 171 werden wirklich genutzt