CVE-2026-9198: Langflow menerbitkan token superuser untuk siapa pun, lalu mengeksekusi apa yang mereka kirimkan

Buletin IBM untuk CVE-2026-9198 menjelaskan pengambilalihan Langflow OSS melalui dua permintaan: panggilan ke endpoint login otomatis platform mengembalikan token bearer superuser kepada siapa pun yang memintanya, dan panggilan kedua mengirim Python ke endpoint validasi kode, yang menjalankannya. Vendor mencatat dua bagian rantai tersebut dengan pengenal terpisah — CVE-2026-9103 untuk autentikasi yang hilang, CVE-2026-8481 untuk eksekusi — dan menilai kombinasi tersebut 9,8 pada CVSS 3.1, dapat dijangkau melalui jaringan tanpa hak istimewa dan tanpa interaksi pengguna. Deployment default pada versi 1.0.0 hingga 1.10.0 terdampak; perbaikannya adalah 1.10.1, dan IBM tidak mencantumkan solusi sementara. Badan Keamanan Siber dan Infrastruktur Amerika Serikat menambahkan CVE tersebut ke katalog Known Exploited Vulnerabilities miliknya pada 4 Agustus 2026, dengan tenggat remediasi federal 7 Agustus. Catatan tersebut, tag tingkat keparahan dan dampaknya, serta entri yang tercatat di sekitarnya disimpan di Orca AI Incident Archive, yang mencantumkan insiden ini bersama bagian lain dari seri tersebut.

Rantai itu, dalam tiga buletin IBM

IBM menerbitkan cacat ini sebagai tiga dokumen alih-alih satu, dan membaca ketiganya bersama-sama itulah yang membuat mekanismenya dapat dipahami. Seluruh rantainya adalah CVE-2026-9198, masalah injeksi kode berdasarkan CWE-94, dengan skor 9.8 dan vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — dapat dijangkau melalui jaringan, kompleksitas rendah, tanpa hak istimewa, tanpa interaksi pengguna, dan dampak tinggi terhadap kerahasiaan, integritas, dan ketersediaan. Paruh pertamanya, CVE-2026-9103, adalah kekurangan autentikasi untuk fungsi kritis berdasarkan CWE-306, juga 9.8. Paruh keduanya, CVE-2026-8481, adalah CWE-94 lagi tetapi mendapat skor 9.9: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, hak istimewa rendah alih-alih tidak ada, dan lingkup berubah.

Angka 9,9 adalah bagian yang jujur dari perhitungan itu. Endpoint validasi kode tidak pernah terbuka bagi orang asing dengan sendirinya — IBM menggambarkannya sebagai cacat yang memungkinkan "pengguna terautentikasi mana pun menjalankan perintah sistem arbitrer dengan hak istimewa penuh dari proses server Langflow." Yang membuat rantai tersebut tidak terautentikasi adalah bagian pertamanya: endpoint login otomatis, yang menurut keterangan IBM "menerbitkan token bearer superuser berumur panjang tanpa memerlukan autentikasi ketika konfigurasi AUTO_LOGIN diaktifkan (aktif secara default)". Buletin tersebut menambahkan bahwa token itu memiliki 365 hari masa berlaku, dan mencatat jalur paparan kedua yang kurang mendapat perhatian — default cross-origin resource sharing yang permisif yang mengizinkan origin wildcard dengan kredensial, yang menurut IBM "dapat memungkinkan pencurian token drive-by dari situs web mana pun."

Bagian eksekusi adalah bagian yang perlu ditelaah lebih jauh. Ringkasan IBM menyatakan bahwa validator "mengompilasi dan mengeksekusi kode yang dikirim pengguna, termasuk evaluasi pada waktu definisi fungsi seperti argumen default dan decorator," dan bahwa penyerang karenanya dapat menyelundupkan ekspresi yang dapat dieksekusi ke dalam parameter default atau decorator. Itu bukan kiasan tentang kode yang tidak aman: sebuah decorator dievaluasi ketika def pembungkusnya dibangun, sehingga permintaan yang satu-satunya tujuan yang dinyatakan adalah memeriksa sintaks sebuah fungsi tetap menjalankan apa pun yang terlampir padanya. Advisory berantai milik IBM sendiri menyatakan hal yang sama dalam satu klausa — validasi dan eksekusi adalah operasi yang sama. Perbaikan yang dicatat dalam buletin CVE-2026-8481 adalah "menghapus eksekusi kode dari jalur validasi dan hanya melakukan pemeriksaan kompilasi."

Satu perbedaan kecil layak dicatat karena memengaruhi perburuan. Buletin berantai mencantumkan endpoint token sebagai /api/v1/auto_login, demikian pula Cloud Security Alliance dan Field Effect; buletin CVE-2026-9103 IBM yang terpisah mencantumkannya sebagai /api/v1/login/auto_login. Kedua dokumen IBM menjelaskan endpoint yang sama dan keduanya tidak salah mengenai perilaku tersebut. Jalur eksekusi ditulis secara identik di semua tempat: POST /api/v1/validate/code.

Dari mana tanggal-tanggal itu berasal

Arsip mencantumkan catatan ini bertanggal 6 Agustus 2026. Entri katalog CISA, yang dibaca pada 30 Oktober 2026, mencatat penambahan tersebut sebagai 4 Agustus 2026 dan menetapkan tenggat perbaikan pada 7 Agustus. Liputan di sekitarnya berada di kedua sisi tanggal arsip, bukan pada tanggal itu sendiri: Field Effect menerbitkan pada 5 Agustus, dan cvetodo serta tim tanggap darurat komputer nasional Thailand sama-sama menerbitkan pada 7 Agustus. Pencantuman, tenggat yang dihasilkannya, dan artikel-artikel yang ditulis tentangnya adalah tiga peristiwa berbeda, jadi tanggal-tanggal ini tidak saling bertentangan — tetapi selisih dua hari antara kolom arsip dan kolom CISA adalah alasan untuk membaca katalog ketika tanggal persisnya penting.

Pengungkapan lebih sulit dipastikan, dan sumber-sumbernya benar-benar tidak sepakat. Halaman buletin IBM untuk CVE berantai mencantumkan tanggal publikasi awal 2 Juli 2026 dan tanggal modifikasi 17 Agustus 2026. Field Effect menetapkan tanggal pengungkapan IBM pada 2 Juli. Catatan riset Cloud Security Alliance tanggal 18 Agustus menempatkan pengungkapan, dan rilis 1.10.1 bersamanya, pada 17 Juli; cvetodo mengatakan hal yang sama. Lima belas hari memisahkan kedua bacaan tersebut dan tidak ada dokumen yang sembarangan, jadi artikel ini tidak memilih di antara keduanya. Yang sudah pasti bagaimanapun juga adalah bahwa patch diterbitkan sebelum pencantuman dalam KEV, dan bahwa 1.10.1 adalah rilis yang membawanya.

Apa yang dinyatakan entri CISA secara tepat, dalam bidang-bidangnya sendiri, lebih sempit daripada judulnya. Produk ini berada di bawah vendor IBM dengan produk Langflow; cacat tersebut dijelaskan sebagai cacat "yang memungkinkan penyerang tanpa autentikasi mencapai eksekusi kode jarak jauh penuh pada penerapan Langflow default"; penggunaan yang diketahui dalam kampanye ransomware tercatat sebagai Tidak diketahui; triase forensik ditandai wajib berdasarkan BOD 26-04; dan tindakan yang diperlukan adalah menerapkan mitigasi sesuai instruksi vendor, atau menghentikan penggunaan produk jika mitigasi tidak tersedia.

Catatan eksploitasi

Pencantuman oleh CISA menyatakan bahwa kerentanan tersebut dieksploitasi di lapangan. Bukti publik di balik pernyataan itu lebih tipis daripada yang disiratkan oleh skor 9.8. Baik IBM maupun CISA belum menyebutkan aktor ancaman atau menerbitkan detail kampanye yang diamati — Field Effect menyatakan hal ini secara terang-terangan, dan tidak ada apa pun dalam tiga buletin IBM atau entri KEV yang bertentangan dengannya.

Yang ada sebagai gantinya adalah telemetri vendor yang disampaikan secara tidak langsung. Catatan Cloud Security Alliance mengutip KEVIntel untuk klaim bahwa upaya eksploitasi tercatat dimulai "sekitar 6 Juli 2026", beberapa minggu sebelum pengungkapan menurut perhitungan aliansi itu sendiri, dan bahwa pada pertengahan Agustus upaya kumulatif telah tumbuh menjadi ratusan, berasal dari beberapa ratus alamat internet unik yang tersebar di puluhan negara. Angka-angka tersebut berasal dari satu perusahaan pemantauan dan tidak muncul di sumber lain yang ditinjau untuk artikel ini. Angka itu dilaporkan di sini, bukan dikuatkan.

Tanggal mulai patut ditinjau ulang. Jika upaya memang dimulai sekitar 6 Juli, itu berarti empat hari setelah tanggal buletin yang tercantum di halaman IBM, dan sebelas hari sebelum tanggal 17 Juli yang diberikan dua sumber lain. Karena itu, telemetri tidak mengonfirmasi maupun menyangkal salah satu tanggal pengungkapan; Cloud Security Alliance menawarkan kedua penjelasan tanpa memilih, menggambarkan aktivitas awal sebagai penemuan independen oleh pemindai oportunistik atau kebocoran detail teknis sebelum pengungkapan terkoordinasi.

Kode eksploitasi publik adalah bagian yang terdokumentasi lebih baik. Field Effect mengaitkan deskripsi publik rantai tersebut dengan "sebuah proof-of-concept publik yang diterbitkan pada Juli 2026" di repositori github.com/0xdak/CVE-2026-9198_exploit, dan menyatakan bahwa kode tersebut menunjukkan cara memperoleh token superuser melalui endpoint login otomatis lalu menggunakannya terhadap endpoint validasi. Field Effect tidak menghubungkan penulis repositori itu dengan eksploitasi yang teramati, dan artikel ini juga tidak. Sumber mana pun yang ditinjau juga tidak melaporkan pencurian kredensial yang terkonfirmasi dari host yang dieksploitasi: deskripsi pemanenan kredensial yang menyertai cacat Langflow secara umum adalah penilaian tentang apa yang dimiliki host semacam itu, yang dibahas di bawah, bukan temuan tentang korban tertentu mana pun dalam catatan ini.

Terkonfirmasi, dilaporkan, dan tidak terkonfirmasi

• Terkonfirmasi. Bahwa CVE-2026-9198 menggabungkan autentikasi yang hilang di endpoint login otomatis dengan eksekusi kode di endpoint validasi kode; bahwa IBM menilai rantai tersebut 9.8 berdasarkan CWE-94 dan kedua bagiannya 9.8 serta 9.9; bahwa deployment default Langflow OSS 1.0.0 hingga 1.10.0 terdampak di Windows, macOS, dan Linux; bahwa 1.10.1 adalah perbaikannya dan IBM tidak menerbitkan solusi sementara; dan bahwa CISA menambahkan CVE tersebut ke katalog KEV dengan tenggat federal 7 Agustus 2026. Ketiga buletin IBM adalah dokumen utama dan ketiganya saling konsisten mengenai mekanisme tersebut.

• Dinyatakan ulang secara independen. ThaiCERT mereproduksi rantai dua endpoint yang sama, skor 9,8 yang sama, rentang terdampak yang sama, dan perbaikan 1.10.1 yang sama dalam advisorynya pada 7 Agustus 2026, serta menambahkan kontrol jaringan yang tidak ada dalam buletin IBM: jaga antarmuka administratif Langflow agar tidak terekspos ke internet publik, dan akses hanya melalui VPN atau daftar izin alamat yang ketat. Itu merupakan korroborasi atas cara advisory tersebut dibaca, oleh badan pemerintah yang tidak memiliki kepentingan terhadap perumusan kata-kata vendor — bukan penemuan independen atas kerentanan tersebut.

• Dilaporkan, tidak dikonfirmasi. Setiap penghitungan eksploitasi: ratusan upaya, beberapa ratus alamat, puluhan negara, dimulai sekitar 6 Juli. Ini adalah angka dari satu perusahaan pemantau, yang diteruskan oleh sebuah badan riset. Pencatatan CISA mengonfirmasi bahwa eksploitasi terjadi tanpa memberikan kuantifikasi, dan tidak ada sumber telemetri kedua yang muncul dalam materi yang ditinjau di sini.

• Tidak ditetapkan. Tidak ada korban yang disebutkan namanya dan tidak ada pelaku yang disebutkan namanya. Tidak ada atribusi kepada negara atau kelompok kriminal. Tidak ada angka yang dikonfirmasi untuk berapa banyak instans Langflow yang dapat dijangkau dari internet — cvetodo melaporkan pada 7 Agustus bahwa IBM belum menjawab pertanyaan tentang skala eksploitasi — dan tidak ada pernyataan vendor yang mengukurnya sejak itu. Arsip menilai catatan ini dengan tingkat keyakinan A dan tidak menandainya sebagai diperdebatkan, dan tidak ada yang ditinjau di sini yang membantahnya; celah-celah tersebut adalah celah dalam bukti publik, bukan dalam klaim bahwa cacat tersebut ada dan telah digunakan.

• Sengaja dikecualikan.Imbauan ThaiCERT juga menjelaskan pemindaian otomatis yang diarahkan AI pada minggu yang sama, tetapi mengaitkannya dengan produk lain dalam batch CISA yang sama, bukan dengan Langflow. Itu bukan bukti tentang catatan ini dan tidak digunakan di sini untuk maksud tersebut.

Apa yang berubah setelah pencatatan?

Perbaikan dari vendor adalah kenaikan versi dan tidak ada yang lain. Tabel produk terdampak IBM mencantumkan Langflow OSS 1.0.0 hingga 1.10.0, menyebut 1.10.1 sebagai perbaikannya, dan menempatkan "None" di kolom workarounds — di ketiga buletin. Buletin CVE-2026-8481 menjelaskan perubahan tersebut: validator berhenti mengeksekusi dan mulai mengompilasi. Buletin CVE-2026-9103, yang mencakup bagian auto-login, tidak menjelaskan perbaikannya secara sedetail itu, dan tidak ada dokumen IBM yang ditinjau di sini yang mencantumkan tanggal rilis 1.10.1.

Panduan semua pihak lain melangkah lebih jauh daripada panduan vendor. Cloud Security Alliance merekomendasikan untuk meningkatkan versi lalu memverifikasi saat runtime bahwa endpoint auto-login tidak lagi menerbitkan token kepada pemanggil yang tidak terautentikasi, alih-alih memercayai string versi — alasan yang dinyatakannya adalah bahwa patch Langflow sebelumnya telah dirilis dengan perbaikan yang tidak lengkap. Cloud Security Alliance juga merekomendasikan untuk menetapkan setelan lingkungan LANGFLOW_AUTO_LOGIN ke false secara eksplisit, sehingga platform mewajibkan kredensial asli alih-alih menerbitkannya, dan memperlakukan setiap instans yang telah terpapar internet sejak awal Juli sebagai telah disusupi sambil menunggu tinjauan log, dengan rotasi kredensial untuk semua yang dapat dijangkau instans: kunci penyedia model, kredensial basis data, dan kunci layanan cloud. ThaiCERT menambahkan bagian jaringan — tidak ada antarmuka administratif di internet publik, hanya VPN atau daftar izin. Keduanya adalah rekomendasi para peneliti. IBM tidak menerbitkan satu pun.

Satu baris kredit tercatat. Pengakuan IBM mengatribusikan laporan tersebut kepada Harish Kolla, dengan nama pengguna GitHub Har1sh-k. Cloud Security Alliance, dalam catatannya pada 18 Agustus, menempatkan CVE-2026-9198 sebagai kerentanan Langflow keempat yang berbeda yang tidak memerlukan autentikasi atau melewati otorisasi untuk masuk ke katalog CISA dalam sekitar lima bulan, dengan menyebutkan tiga pengenal sebelumnya, dan pembacaannya adalah bahwa pola tersebut mencerminkan remediasi bertahap yang berulang terhadap satu model autentikasi dan eksekusi kode, bukan cacat yang tidak terkait. Kerangka tersebut merupakan penilaian aliansi, yang disampaikan dalam catatan penelitian; itu bukan temuan auditor independen, dan tidak ada sumber yang ditinjau di sini yang mencatat tanggapan publik dari para pemelihara terhadapnya.

Apa yang diselesaikan dan tidak diselesaikan oleh daftar KEV

Katalog CISA merupakan pernyataan adanya eksploitasi yang teramati, bukan laporan insiden, dan entri ini tetap mengikuti bentuk tersebut. Entri ini menyatakan bahwa kerentanan tersebut digunakan; entri ini tidak menyebutkan terhadap siapa, oleh siapa, atau seberapa sering. Penggunaan ransomware dicatat sebagai Unknown. Tidak ada yang dinyatakan secara kuantitatif. Yang memang dipastikan oleh pencantuman ini adalah satu pertanyaan yang tidak dapat dijawab oleh skor keparahan: apakah kerentanan tersebut beralih dari proof of concept yang berfungsi ke penggunaan nyata. Bagi organisasi di luar jangkauan BOD 26-04 — yang mencakup sebagian besar dunia — tenggat 7 Agustus tidak membawa kewajiban, dan fakta di baliknya tetap memiliki bobot yang sama seperti yang akan dimilikinya jika ada kewajiban.

Cloud Security Alliance menarik kesimpulan operasional dari entri yang sama: bahwa pencantuman KEV adalah sinyal andal bahwa eksploitasi telah melewati tahap proof-of-concept, dan bahwa untuk kerentanan ini sinyal tersebut muncul sekitar satu bulan setelah upaya pertama yang tercatat. Siapa pun yang menunggu katalog sebelum melakukan triase, menurut pembacaan itu, sudah menanggapi insiden alih-alih mencegahnya. Apakah itu menggambarkan penerapan tertentu adalah pertanyaan bagi log-nya — pasangan endpoint yang harus dicari adalah yang didokumentasikan IBM, dan catatan tersebut tidak menyebut satu pun korban untuk menguji jawaban itu.