Der Eintrag kam um 15:12 UTC

Die CISA hat am 21. Juli 2026 um 15:12:01 UTC die Version 2026.07.21 ihres Katalogs bekannter ausgenutzter Schwachstellen veröffentlicht, und CVE-2026-0770 stand darin. Die Behörde beschreibt die Lücke mit eigenen Worten so: "Langflow contains an inclusion of functionality from untrusted control sphere vulnerability that allows remote attackers to execute arbitrary code on affected installations." Die Frist für US-Bundesbehörden endet am 24. Juli 2026, drei Tage nach der Aufnahme, nach der Binding Operational Directive BOD 26-04, "Prioritizing Security Updates Based on Risk".

Die technische Form erklärt die Frist. Schwachstellendatenbanken setzen den Wert auf CVSS 9.8, der Fehler steckt in validate_code(), das exec_globals an einen nicht abgeschirmten Aufruf von exec() weitergibt, der betroffene Prozess läuft als root, und der Endpunkt verlangt keine Authentifizierung. Betroffen sind die Versionen 1.4.2 bis 1.7.3, behoben hat das Langflow-Projekt den Fehler in 1.9.0. Die CISA führt die Schwachstellenklasse CWE-829 und vermerkt bekannte Nutzung durch Ransomware-Kampagnen als unbekannt.

Vier Wochen erreichbare Instanzen

Die Gefährdung liegt fast einen Monat vor dem Eintrag. Schwachstellendatenbanken verzeichnen Ausnutzungsversuche seit dem 27. Juni 2026, in einem Fenster von 30 Tagen zählten sie 201 Versuche von 61 verschiedenen IP-Adressen. Der Katalogeintrag folgte am 21. Juli.

Diese Zahlen sollte man richtig lesen. Sie sind Telemetrie aus Scans und Angriffsversuchen und keine bestätigte Zahl kompromittierter Unternehmen, und die CISA vermerkt die Nutzung durch Ransomware weiterhin als unbekannt. Belegt ist damit, dass der Adressraum wochenlang abgesucht wurde, während die meisten Inhaber den Produktnamen nie gehört hatten.

Das verändert, was ein Fund bedeutet. Wer diese Woche eine Langflow-Instanz im eigenen Haus findet, sollte davon ausgehen, dass sie in diesen vier Wochen erreichbar war, also gehören Prozessprotokolle, ausgehende Verbindungen und alle hinterlegten Zugangsdaten dazu. Das Update auf 1.9.0 schließt die Tür. Über den, der schon hindurchgegangen ist, sagt es nichts.

Ein Inventarproblem im Gewand eines Patchproblems

Der Patch ist der einfache Teil. Diese Art von Software kommt nicht über die IT ins Haus. Low-Code-Baukästen für KI werden von Marketing, Betrieb und Analytik aufgesetzt, denn genau dafür ist Low-Code gemacht, und sie stehen dann auf einer Cloud-Instanz, an der ein Firmenzugang hängt.

Kein Eintrag im Anlagenverzeichnis, keine Zeile in der CMDB, kein Agent auf dem Host. Der Schwachstellenscanner, der CVE-2026-0770 gefunden hätte, hat die Maschine nie gesehen, dem gewohnten Patchzyklus fehlte also die Grundlage. Stellen Sie diese Woche eine andere Frage: Wer in diesem Unternehmen darf einen Server starten, und was hat er gestartet.

Die Werkzeugschicht um KI-Agenten ist die neue Angriffsfläche

Es ist die zweite Plattform zum Bau von KI-Agenten, die in diesem Monat in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen wurde. Die Werkzeugschicht, die Agenten zusammensetzt, ist jünger und weniger geprüft als die Anwendungen, die sie steuert, und sie läuft mit mehr Rechten als beide.

Genau diese Rechte sind der Punkt. Ein Agentenbaukasten hält die Zugangsdaten für jedes System, das seine Agenten berühren, root auf dem Baukasten reicht also bis ins CRM, ins Postfach, ins Data Warehouse und in das Zahlungssystem, die jemand aus einer anderen Abteilung in einen Ablauf verdrahtet hat. Der Wirkungsradius ist die Liste der Integrationen, und außerhalb dieser Abteilung hat sie niemand gelesen.

Zwei Grenzen gehören klar benannt. Der 24. Juli ist eine Frist für US-Bundesbehörden und hat in Europa keine Rechtswirkung, und die genannte Telemetrie beschreibt Angriffsverkehr und bleibt hinter einem belegten Einbruch zurück. Für deutsche Betreiber läuft ohnehin am 31. Juli 2026 die Registrierungsfrist beim BSI im Rahmen von NIS-2, und die verlangt dieselbe Grundlage: eine Liste dessen, was man betreibt.

Weiterlesen: Diese ColdFusion-Lücke wurde in Minuten angegriffen  |  Ein geteiltes Zertifikat lässt Qilin herein