Previdian'ın uyarısına göre tehdit aktörleri Langflow'daki kritik güvenlik açığını istismar ediyor.
Langflow, geliştiricilerin yapay zeka uygulamaları ve ajan tabanlı iş akışları oluşturmasına olanak tanıyan açık kaynaklı bir platform. Şubat 2025'te Langflow'un ana şirketi DataStax, IBM tarafından satın alındı.
Söz konusu açık CVE-2026-105740 (CVSS puanı: 9,9) ve 1.9.0 öncesindeki sürümleri etkileyen kimlik doğrulamalı uzaktan kod çalıştırma türünde.
Geçen ay yayımlanan bir danışmada "Herhangi bir kimliği doğrulanmış Langflow kullanıcısı, 'stdio' taşıma yöntemiyle bir MCP sunucusu ekleyerek sunucuda Uzaktan Kod Çalıştırma (RCE) elde edebilir" denildi.
"Kullanıcı tarafından sağlanan komut alanı, doğrudan bash -c "exec {command}" komutuna, sıfır doğrulama, izin listesi olmadan ve sandbox olmadan geçirilir. Komut, sunucu listesi alındığında hemen çalışır. Ayrıca env alanı keyfi ortam değişkeni enjeksiyonuna izin verir (örneğin LD_PRELOAD, PATH geçersiz kılma)."
Açığın özü, Langflow'un kullanıcıdan gelen komutu onaylı yürütülebilir dosyalarla sınırlandırmadan kabul etmesi. Bu durum kabuk çalıştırılmasına yol açabilir.
Varsayımsal bir saldırı senaryosunda kötü aktör açığı şu şekilde istismar edebilir:
Normal, yönetici olmayan bir kullanıcı olarak giriş yap.
Zararlı bir yük içeren (örneğin ters kabuk) bir komut alanı ile "/api/v2/mcp/servers/{server_name}" adresine hazırlanmış bir HTTP POST isteği göndererek kötü amaçlı bir MCP sunucusu ekle.
Sunucu, saldırgan tarafından sağlanan "command" değerini herhangi bir doğrulama olmadan kabul eder ve depolar.
Açığı tetiklemek için "/api/v2/mcp/servers?action_count=true" HTTP GET isteğiyle MCP sunucu listesini al; bu komutun çalışmasına neden olur.
Kod çalıştırma elde et.
Langflow, "Herhangi bir kimliği doğrulanmış Langflow kullanıcısı (yönetici olmayan hesaplar dahil) Langflow sürecinin ayrıcalıklarıyla sunucuda keyfi işletim sistemi komutları çalıştırabilir" uyarısında bulundu.
Başarılı istismar, sunucunun tamamen ele geçirilmesine, ortam değişkeni enjeksiyonuna, yatay hareketin kolaylaştırılmasına ve kalıcı bir arka kapının kurulmasına yol açabilir; çünkü kötü amaçlı MCP sunucusu yapılandırması kalır ve sunucu listesi her yüklendiğinde yeniden çalıştırılır.
Langflow, "Özel bileşen kodu akış editöründe görünürken, MCP sunucu yapılandırmaları proje ayarlarında saklanır ve normal akış incelemesi sırasında görünmez" dedi.
Previdian verilerine göre 19 Eylül 2026'dan bu yana bal peteği sensörlerine karşı 1.423 saldırı girişimi kaydedildi. Saldırılar Belçika, Çin, Almanya, Hong Kong, Japonya, Nijerya, Filipinler, Rusya, Seyşeller, Singapur, Güney Kore, Tayvan, Tanzanya, ABD ve Vietnam'da bulunan 27 farklı saldırgan IP adresinden geldi.
Saldırı çabaları 11 Ekim 2026'dan itibaren hızlandı; bu tarihte 333 girişim kaydedildi. Yazının hazırlandığı sırada 15 Ekim 2026'da 66 girişim gözlendi.
Previdian'ın kurucusu ve CEO'su Ryan Dewhurst, The Hacker News'e verdiği demeçte "Bu açığın kimlik doğrulama gerektirdiğini göz önünde bulundurarak saldırganların nasıl kimlik doğrulama yaptığını araştırdık" dedi.
"Gözlemlenen bir dizide saldırganlar Langflow sürümünü kontrol etti, /api/v1/auto_login adresini denedi (bal peteğimizde devre dışı olduğu için 403 döndü) ve ardından yaygın bir kullanıcı adı ve parola ile başarıyla kimlik doğrulaması yaptı. Elde ettikleri bearer token'ı hemen savunmasız MCP sunucu yapılandırma uç noktasına erişmek için kullandılar."
Ele geçirilen yüklerin bazıları şunlardır:
LANGFLOW_SECRET_KEY ve LANGFLOW_SUPERUSER_PASSWORD dahil hassas Langflow yapılandırmalarını ve ortam değişkenlerini çıkarma girişimleri ve bunların 146.70.211[.]112:18764 adresine iletilmesi.
Sunucu dosya sistemine erişmeye ve "/etc/passwd" içeriğini okumaya çalışan Docker komutları.
id, whoami ve diğer basit komutları kullanan komut çalıştırma sondajları.
Etkinliğin önemli bir kısmı "192.255.229[.]92" IP adresinden kaynaklanıyor; bu adres ortam değişkenlerini çıkarmaya çalışıyor. GreyNoise verilerine göre IP adresi genel kaba kuvvet saldırılarıyla ilgilenmiş ve ayrıca Flowise'deki (CVE-2026-69255) ve Langflow'daki (CVE-2026-55255, CVE-2026-9198 ve CVE-2026-0768) diğer açıkları istismar etmiş.
Dewhurst, "Langflow'u yama yapılmış bir sürüme yükseltmenizi, otomatik girişi devre dışı bırakmanızı, güçlü ve benzersiz parolalar kullanmanızı ve /api/v2/mcp/servers/ isteklerine yönelik kimlik doğrulama günlüklerini ve isteklerini şüpheli etkinlik açısından gözden geçirmenizi öneriyoruz" dedi.
Geçen ay Langflow, MCP stdio sunucu yapılandırması üzerinden işletim sistemi komut enjeksiyonuna da yol açabilen başka bir kritik açık olan CVE-2026-105697'yi (CVSS puanı: 9,9) ele aldı.
Hemen yama yapılamıyorsa LANGFLOW_AUTO_LOGIN=false olarak ayarlanması, Langflow'un güvenilmeyen ağlara doğrudan maruz bırakılmamasının ve Langflow hesaplarının yalnızca güvenilir kullanıcılara verilmesi öneriliyor.
