Langflow CVE-2026-0768: cacat Langflow ke-12 yang dieksploitasi di alam liar tahun ini

CVE-2026-0768 adalah cacat eksekusi kode jarak jauh tanpa autentikasi pada Langflow, kerangka visual sumber terbuka untuk merakit pipeline dan agen model bahasa besar, dan pada akhir Agustus 2026 penyerang telah menggunakannya di alam liar. Cacat ini terletak pada validator kode di balik editor komponen kustom Langflow: endpoint validate menerima parameter kode dan menjalankan Python yang ada di dalamnya, tanpa autentikasi dan, dalam kata-kata Zero Day Initiative, "dalam konteks root." Jaringan honeypot Canary milik VulnCheck mencatat lebih dari 50 upaya eksploitasi dalam beberapa jam setelah deteksi pertama pada 30 Agustus 2026, dan lebih dari 360 pada Senin, 1 September, semuanya ditujukan ke sensor di Britania Raya; Caitlin Condon dari VulnCheck mengatakan lalu lintas sumber terutama berasal dari Rusia. Permintaan tersebut bukan ransomware. Permintaan itu membaca variabel lingkungan yang menyimpan kredensial superuser Langflow, kunci API OpenAI, serta kunci akses dan kunci rahasia AWS, lalu mencari di /root/.cache/langflow/secret_key, .ssh, dan .bash_history. Entri lengkap arsip untuk insiden ini, termasuk klasifikasi tingkat keparahan, keyakinan, dan kerugiannya, berada di Orca AI Incident Archive, bersama catatan pencurian kredensial dan infrastruktur AI lain di sekitarnya.

Security Affairs menerbitkan laporannya pada 2 September 2026; Ionut Arghire dari SecurityWeek melaporkan eksploitasinya sehari sebelumnya, Bill Toulas dari BleepingComputer meliputnya pada minggu itu, dan Inisiatif Keselamatan AI dari Cloud Security Alliance menyusul pada 4 September dengan catatan riset yang mengulang mekanismenya dan menambahkan rekomendasi. Tidak ada satu pun laporan yang ditinjau untuk artikel ini yang menyebutkan organisasi yang terdampak. Semuanya bermula dari sensor VulnCheck sendiri dan dari advisory yang diterbitkan Zero Day Initiative pada Januari.

Editor yang menjalankan apa yang diminta untuk divalidasi

Poin jual Langflow adalah Anda merakit aplikasi AI dengan menyeret komponen ke kanvas. Komponen kustom berupa Python: editor memungkinkan pengguna menempelkan kode dan menekan tombol validasi, lalu server memeriksanya. Menurut advisory ZDI ZDI-26-034, pemeriksaan itulah yang menjalankan kodenya. Kalimat akar masalah dalam advisory tersebut hanya satu baris — "kurangnya validasi yang semestinya terhadap string yang dipasok pengguna sebelum digunakan untuk mengeksekusi kode Python" — dan hasilnya adalah satu permintaan HTTP tanpa autentikasi dapat mengeksekusi Python arbitrer di host.

Tiga sifat membuatnya menjadi insiden, bukan laporan bug. Vektor CVSS-nya adalah AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, dengan skor 9.8: dapat dijangkau melalui jaringan, kompleksitas rendah, tanpa hak istimewa, tanpa interaksi pengguna, dan hilangnya kerahasiaan, integritas, serta ketersediaan secara total. Konteks eksekusinya adalah root, itulah sebabnya perintah penyerang yang dijelaskan baik oleh Condon maupun Cloud Security Alliance mengarah ke /root/.cache/langflow/secret_key — file yang digunakan Langflow untuk mengenkripsi kredensial dan data sesi yang tersimpan. Dan endpoint tersebut sama sekali tidak meminta kredensial, sehingga keterpaparan hanya merupakan fungsi dari keterjangkauan.

Riwayat pengungkapan menjadi penting bagi bagaimana hal ini berlangsung. Lini masa ZDI mencatat bahwa laporan tersebut mencapai akun GitHub Langflow pada 18 Juli 2025, permintaan pembaruan pada 11 September 2025, permintaan perbaikan pada 10 Oktober 2025, dan pemberitahuan niat untuk mempublikasikan sebagai zero-day pada 10 Desember 2025. ZDI merilis advisory tersebut pada 9 Januari 2026. Peneliti yang dikreditkan adalah Peter Girnus, William Gamazo Sanchez, dan Alfredo Oliveira dari Trend Research. Basis data advisory GitHub memuat teks yang sama sebagai GHSA-x5pr-rvjj-j6qm, diterbitkan 23 Januari 2026, diklasifikasikan CWE-94, dan tidak mencantumkan rentang versi yang terdampak sama sekali. Mitigasi yang dinyatakan ZDI bukanlah patch: melainkan "membatasi interaksi dengan produk."

Pelaporan publik menempatkan rentang yang terdampak pada rilis Langflow hingga dan termasuk 1.4.2, versi yang menjadi dasar pembangunan dan pengujian modul Metasploit yang ditambahkan kemudian. Di situlah batas kepastiannya, dan bagian tentang perbaikan di bawah ini menjelaskan alasannya.

Apa yang dapat dan tidak dapat dibuktikan oleh deteksi 360

Canaries milik VulnCheck adalah sensor yang menghadap internet dan dibuat agar tampak seperti hal yang sedang dipindai penyerang. Perusahaan itu melihat eksploitasi pertama kali atas CVE-2026-0768 pada 29–30 Agustus 2026: lebih dari 50 deteksi dalam beberapa jam pada hari Minggu, lalu meningkat melewati 360 pada hari Senin. Condon, wakil presiden riset ancaman VulnCheck, mendeskripsikan aktivitas tersebut di LinkedIn sebagai "campuran pengintaian dan pemanenan kredensial," dan menambahkan bahwa lalu lintas sumber terutama berasal dari Rusia dan "sejauh ini secara eksklusif hanya mengenai Canaries di Inggris."

Urutan perintah yang ditangkap sensor cukup spesifik untuk dijadikan playbook. Penyerang mengueri lingkungan untuk LANGFLOW_SUPERUSER, untuk variabel yang cocok dengan OPENAI_API, dan untuk kunci AWS_ACCESS serta AWS_SECRET — tiga keluarga kredensial yang paling mungkin dimiliki host Langflow. Mereka membaca kunci rahasia yang di-cache di /root/.cache/langflow/secret_key. Mereka memeriksa akses .ssh dan menginspeksi ukuran .bash_history, yang keduanya menunjukkan apakah seorang operator dapat bergerak lateral alih-alih sekadar membaca rahasia. Sebuah tulisan komunitas tentang rantai serangan tersebut, yang dikutip oleh Cloud Security Alliance, menambahkan bahwa aktivitas yang sama mencari rahasia yang tertanam di pohon sumber dan file .env, mengeksfiltrasi apa yang ditemukan, dan memeriksa apakah suatu host sudah pernah dibackdoor oleh operator sebelumnya sebelum menambahkan persistensinya sendiri.

Yang dibuktikan oleh itu adalah bahwa eksploit tersebut berfungsi, bahwa eksploit itu digunakan terhadap instans Langflow yang menghadap internet, dan bahwa tujuannya adalah kredensial, bukan gangguan. Yang tidak dibuktikannya adalah adanya korban. Canary adalah umpan; deteksi adalah permintaan, bukan pencurian yang terkonfirmasi. Arsip mengklasifikasikan catatan ini sebagai kerugian nyata, dan kerugian yang didokumentasikan dalam sumber-sumber publik adalah eksekusi terkonfirmasi kode pemanenan kredensial terhadap sistem yang terekspos — bukan organisasi bernama yang kunci-kuncinya telah dipakai.

Satu detail bertentangan dengan cerita biasa tentang pengungkapan. Menurut VulnCheck, tidak ada proof-of-concept publik untuk CVE-2026-0768 saat eksploitasi dimulai. Advisory tersebut telah dipublikasikan selama hampir delapan bulan dan menjelaskan cacat itu cukup tepat sehingga seseorang dapat membuat eksploit dari teks tersebut. Tafsiran firma itu, sebagaimana dilaporkan oleh The Hacker News, adalah bahwa ini merupakan derivasi independen alih-alih penggunaan kembali kode yang bocor.

Dua belas kelemahan, lima belas ribu percobaan — dan di titik mana angka-angka itu berbelok

Statistik yang memberi bobot pada insiden ini berasal dari VulnCheck, dan layak dikutip dengan kata-kata perusahaan itu sendiri alih-alih dalam parafrase. “Sebelum 2026, bukti menunjukkan hanya satu kerentanan Langflow yang diketahui dieksploitasi di alam liar,” katanya. “Pada 2026, keadaan berubah dengan cepat.” SecurityWeek melaporkan bahwa VulnCheck melacak “11 kerentanan tambahan yang menjadi sasaran dan dilaporkan dieksploitasi di alam liar” selama 2026.

Tambahkan itu dan Anda mendapatkan dua belas kerentanan Langflow yang dieksploitasi, salah satunya berasal dari sebelum tahun ini. Itu tidak sama dengan dua belas pada 2026, dan sumber-sumber bergeser antara dua pembingkaian tersebut. Judul berita Forkast menyebut CVE-2026-0768 sebagai "CVE ke-12 Langflow yang Dieksploitasi pada 2026," sementara isi artikel yang sama menggambarkan selusin itu sebagai "11 kerentanan baru dan satu yang teridentifikasi sebelum awal tahun." Judul catatan mengikuti judul berita tersebut. Dibaca secara ketat, 2026 mencakup sebelas dari dua belas, dengan yang kedua belas — yang diketahui sebelum tahun ini — melengkapi sisanya.

Angka 15.000 memiliki keunggulan yang sebanding. SecurityWeek, The Hacker News, dan Forkast semuanya mengaitkan "lebih dari 15.000 serangan yang berhasil" dengan tiga kerentanan yang disebutkan: CVE-2026-0769, CVE-2025-3248, dan CVE-2026-5027. Itu angka yang besar, tetapi itu merupakan hitungan di tiga CVE, bukan di seluruh portofolio Langflow tahun 2026. Menyebutnya sebagai upaya eksploitasi terhadap portofolio — seperti yang dilakukan ringkasan arsip — lebih luas daripada apa yang diterbitkan VulnCheck.

Entri-entri individual di balik pola tersebut terdokumentasi. CVE-2025-3248 adalah cacat injeksi kode pada endpoint /api/v1/validate/code yang sama, ditambal di Langflow 1.3.0 dengan mengganti eksekusi menjadi validasi hanya-kompilasi, menurut advisory GitHub GHSA-rvqx-wpfh-mfx7 sebagaimana dikutip oleh Cloud Security Alliance — yang berarti CVE-2026-0768 adalah kelas bug yang sama pada jalur kode yang sama, sekitar empat bulan setelah perbaikan itu dirilis. CVE-2026-33017, RCE tanpa autentikasi pada endpoint build flow publik, dijadikan senjata dalam waktu sekitar 20 jam setelah pengungkapannya pada Maret 2026 dan digunakan untuk mengambil kredensial OpenAI, Anthropic, dan AWS sebelum beralih ke penambangan kripto Monero, menurut keterangan Cloud Security Alliance. Catatan aliansi yang sama tertanggal 12 Juni 2026 mencakup CVE-2026-5027, cacat path traversal pada endpoint unggah file yang oleh para peneliti dikaitkan dengan kelompok yang disponsori negara Iran, MuddyWater, dan catatannya tertanggal 4 September mencatat CVE-2026-55255, bypass otorisasi yang memungkinkan pengguna terautentikasi menjalankan flow milik pengguna lain, yang masuk ke katalog Known Exploited Vulnerabilities milik CISA pada 7 Juli 2026. Keempatnya memiliki pola yang sama: endpoint yang melewatkan autentikasi atau melewatkan sanitasi, di platform yang tugasnya menyimpan kredensial untuk semua yang diajak berinteraksi.

Mengapa platform orkestrasi sepadan dengan repotnya

Instans Langflow produksi dikonfigurasi dengan kunci API penyedia, kredensial cloud, string koneksi basis data, dan rahasia integrasi, karena alur yang dijalankannya memerlukannya pada saat pemanggilan. Kompromi atas host karenanya menghasilkan akses yang berfungsi ke setiap layanan yang kredensialnya disimpan oleh instans tersebut. Kunci OpenAI atau Anthropic yang dicuri memungkinkan penyerang menagihkan inferensi kepada korban atau menyamar sebagai organisasi di hilir; kunci AWS yang dicuri membuka infrastruktur jauh melampaui kontainer Langflow. Daya ungkit itulah, bukan kemampuan khusus AI apa pun, yang menjadi sasaran perintah yang diamati.

Penilaian Cloud Security Alliance adalah bahwa keterulangan di empat subsistem Langflow yang berbeda dalam satu tahun — validator kode, endpoint build flow publik, unggahan file, eksekusi alur kerja — menunjukkan celah sistemik dalam rekayasa keamanan, bukan rangkaian cacat yang tidak saling terkait. Itu adalah penilaian aliansi tersebut, yang disampaikan dalam catatan riset, bukan temuan auditor independen, dan Langflow belum menanggapinya secara publik dalam materi yang ditinjau di sini.

Apa yang sudah diperbaiki, dan apa yang masih ambigu

Ini adalah bagian terlemah dari catatan publik, dan perlu dijelaskan secara tepat mengapa demikian. Advisory ZDI tidak menyebutkan versi yang telah ditambal. Entri basis data Snyk untuk CVE tersebut mencantumkan versi terdampak sebagai semua versi sebelum 1.10.1 dan merekomendasikan peningkatan ke 1.10.1 atau lebih tinggi. Laporan publik, termasuk SecurityWeek dan Security Affairs, menggambarkan rentang terdampak sebagai rilis hingga 1.4.2 tetapi tidak mengidentifikasi rilis yang diperbaiki. Cloud Security Alliance mencatat pada 4 September bahwa para pengelola Langflow belum menerbitkan advisory keamanan khusus yang menyebut CVE ini, dan bahwa para pelacak tidak sepakat tentang rilis mana yang sebenarnya memperbaikinya — ambiguitas yang menurut aliansi tersebut menggemakan kasus Langflow sebelumnya ketika versi yang dilaporkan telah diperbaiki tetap dapat dieksploitasi.

Langflow memang merilis perbaikan di area yang tepat, pada hari yang tepat. Versi 1.11.6 diterbitkan pada 1 September 2026, hari Senin ketika jumlah honeypot melewati 360, dan catatan rilisnya menjelaskan backport perbaikan keamanan termasuk "close component code scan gaps" dan "resolve annotations without execution" (pull request 14876). Versi 1.12.0 menyusul malam itu. Pengerasan lebih lanjut pada jalur kode yang sama berlanjut setelahnya: pull request yang lebih baru berjudul "stop validate_code from executing imports" menunjukkan bahwa endpoint validate masih diperketat berminggu-minggu setelah eksploitasi pertama. Tidak satu pun dari itu merupakan pernyataan vendor bahwa CVE-2026-0768 telah diperbaiki dalam rilis yang disebutkan, dan tidak ada yang ditemukan dalam sumber-sumber yang dikutip dalam catatan tersebut.

Yang lebih jelas adalah apa yang berubah di sisi penyerang. Modul eksploit Metasploit untuk celah keamanan ini diajukan sebagai pull request pada 2 September 2026 — pada hari yang sama Security Affairs menerbitkan laporannya — dan digabungkan pada 8 Oktober 2026, setelah diuji terhadap Langflow 1.4.2. Apa pun status derivasi aslinya, mengeksploitasi celah ini berhenti memerlukan kerja orisinal enam minggu setelah eksploitasinya dimulai.

Respons yang direkomendasikan Cloud Security Alliance adalah urutan patch-dan-rotasi, bukan sekadar patch saja: verifikasi versi yang sedang berjalan dan pindah ke rilis stabil saat ini; anggap setiap instans yang terpapar internet pada versi terdampak sebagai telah disusupi sampai terbukti sebaliknya, karena aktivitas yang teramati adalah pemanenan diam-diam, bukan gangguan yang terlihat; dan rotasi setiap rahasia yang dapat dijangkau instans tersebut — kata sandi superuser Langflow, kunci API penyedia, kunci akses dan kunci rahasia AWS, serta kunci rahasia Langflow itu sendiri — dengan mengenkripsi ulang kredensial yang tersimpan, bukan sekadar mengganti file. Cloud Security Alliance juga merekomendasikan audit log akses untuk permintaan ke endpoint validate, pemeriksaan authorized_keys untuk kunci SSH yang tidak dikenal, dan pencarian bukti bahwa operator sebelumnya telah memasang backdoor pada host. Jika platform harus tetap dapat dijangkau, Cloud Security Alliance menyarankan pembatasan akses ke endpoint validate atau penonaktifannya, serta beralih dari kunci berhak istimewa tinggi berumur panjang yang disimpan langsung di platform.

Terkonfirmasi, dilaporkan, dan tidak terkonfirmasi

Ditetapkan: bahwa CVE-2026-0768 adalah RCE tanpa autentikasi di endpoint validate Langflow yang mengeksekusi Python sebagai root, didokumentasikan dalam ZDI-26-034 dan dicerminkan sebagai GHSA-x5pr-rvjj-j6qm; bahwa eksploitasi dimulai pada 29–30 Agustus 2026; bahwa VulnCheck mencatat lebih dari 50 deteksi dalam hitungan jam dan lebih dari 360 pada 1 September, terhadap sensor di Inggris, dengan lalu lintas terutama dari Rusia; dan bahwa permintaan yang teramati menyasar kredensial superuser Langflow, OpenAI, dan AWS serta kunci rahasia yang di-cache, .ssh, dan .bash_history. Ini berasal dari advisory itu sendiri dan dari telemetri VulnCheck sebagaimana dilaporkan secara independen oleh SecurityWeek, Security Affairs, dan The Hacker News.

Dilaporkan, tidak diverifikasi secara independen:setiap jumlah deteksi. Angka 50, 360, dan 15.000 adalah angka VulnCheck sendiri, yang diterbitkan oleh perusahaan tersebut dan diulang oleh media yang mengutipnya; belum ada jaringan honeypot kedua yang menerbitkan jumlah yang mengonfirmasi. Atribusi ke infrastruktur Rusia juga merupakan tafsiran VulnCheck atas lalu lintas sumber, bukan penilaian yang telah didukung oleh pemerintah atau CERT mana pun dalam materi yang ditinjau.

Tidak dapat dipastikan: bahwa ada organisasi yang disebutkan namanya yang kehilangan kredensial. Tidak ada korban yang teridentifikasi dalam sumber-sumber catatan tersebut. Juga tidak ada versi tertambal yang terkonfirmasi: ZDI tidak menyebutkan satu pun, Snyk menyebut 1.10.1, pemberitaan menyebutkan terdampak hingga 1.4.2, dan catatan rilis 1.11.6 menjelaskan perbaikan keamanan tanpa mengaitkannya dengan CVE ini. Hitungan "cacat kedua belas pada 2026" juga tidak konsisten secara internal di antara sumber-sumbernya sendiri, sebagaimana diuraikan di atas.

Bagian yang seharusnya membuat orang yang melakukan patch sesuai jadwal khawatir

Jeda delapan bulan itulah temuannya. CVE-2026-0768 dipublikasikan sebagai zero-day pada 9 Januari 2026, dengan deskripsi teknis yang cukup rinci untuk merekonstruksi kerentanan tersebut, dan tidak terjadi apa pun terhadap sensor VulnCheck sampai akhir pekan terakhir Agustus. Kemudian, beberapa ratus upaya datang dalam tiga hari, dari operator yang, menurut keterangan perusahaan tersebut, tidak memiliki eksploit publik untuk disalin. Apa pun yang membuat instans-instans itu tetap tidak ditambal selama delapan bulan pemberitahuan kritis publik adalah hal yang sama yang membuat kerentanan itu layak dieksploitasi ketika seseorang akhirnya menulis kodenya.

Ini juga menutup lingkaran yang dibuka oleh CVE-CVE Langflow sebelumnya. CVE-2025-3248 diperbaiki dengan menghapus eksekusi dari jalur validate yang sama; CVE-2026-0768 tetap mengeksekusi pada jalur itu. Perbaikan yang menghilangkan suatu perilaku tanpa menghilangkan keputusan desain yang menghasilkannya hanya membeli waktu, dan dalam kasus ini ia membeli waktu sekitar empat bulan.