CVE-2026-9198: Langflow가 누구에게나 슈퍼유저 토큰을 발급한 뒤, 그들이 보낸 내용을 실행했다

IBM의 CVE-2026-9198 공지서는 Langflow OSS에 대한 두 번의 요청으로 이루어지는 장악을 설명합니다. 플랫폼의 자동 로그인 엔드포인트 호출은 요청하는 누구에게나 슈퍼유저 베어러 토큰을 반환하고, 두 번째 호출은 코드 검증 엔드포인트에 Python을 전송하며 해당 엔드포인트가 이를 실행합니다. 벤더는 이 체인의 두 절반을 별도 식별자로 등록합니다. 누락된 인증에는 CVE-2026-9103, 실행에는 CVE-2026-8481이며, 조합에는 CVSS 3.1 기준 9.8점을 부여하며, 권한이나 사용자 상호작용 없이 네트워크를 통해 접근 가능합니다. 1.0.0부터 1.10.0까지 버전의 기본 배포가 영향을 받습니다. 수정 버전은 1.10.1이며, IBM은 우회 방법을 제시하지 않습니다. 미국 사이버보안 및 인프라 보안국은 2026년 8월 4일에 이 CVE를 알려진 악용 취약점 목록에 추가했으며, 연방 차원의 수정 기한은 8월 7일입니다. 해당 기록과 그 심각도 및 피해 태그, 그리고 그 주변에 등록된 항목들은 Orca AI Incident Archive에 보관되며, 이 아카이브는 이 사건을 시리즈의 나머지와 함께 나열합니다.

세 개의 IBM 게시글에 담긴 체인

IBM은 이 취약점을 하나가 아닌 세 문서로 게시하며, 이들을 함께 읽어야 메커니즘이 명확해집니다. 전체 체인은 CVE-2026-9198로, CWE-94에 따른 코드 주입 문제이며 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H로 9.8점을 받았습니다 — 네트워크를 통해 접근 가능하고, 복잡도가 낮으며, 권한이 없고, 사용자 상호작용이 없으며, 기밀성·무결성·가용성에 높은 영향을 줍니다. 그 첫 번째 절반인 CVE-2026-9103은 CWE-306에 따른 중요 기능에 대한 인증 누락이며 역시 9.8점입니다. 두 번째 절반인 CVE-2026-8481은 다시 CWE-94이지만 9.9: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H로 평가되었으며, 권한 없음이 아니라 낮은 권한이고 범위가 변경되었습니다.

9.9는 산술에서 정직한 부분이다. 코드 검증 엔드포인트는 원래부터 외부인에게 열려 있지 않았다. IBM은 이를 "인증된 사용자라면 누구나 Langflow 서버 프로세스의 전체 권한으로 임의의 시스템 명령을 실행할 수 있었던" 취약점이라고 설명한다. 이 취약점 체인을 미인증 상태로 만드는 것은 앞부분이다. 즉, IBM의 설명에 따르면 "AUTO_LOGIN 구성이 활성화된 경우(기본적으로 활성화됨) 인증 없이 장기 유효한 슈퍼유저 베어러 토큰을 발급하는" 자동 로그인 엔드포인트다. 이 보안 공지에는 토큰의 유효 기간이 365일이라고 명시되어 있으며, 상대적으로 주목을 덜 받는 두 번째 노출 경로도 기록되어 있다. 와일드카드 출처에 자격 증명을 허용하는 느슨한 교차 출처 리소스 공유(CORS) 기본 설정으로, IBM은 이 설정이 "임의 워드사이트에서 무단 토큰 탈취를 가능하게 할 수 있다"고 밝혔다.

실행 부분이 특히 숙고해 볼 만한 대목입니다. IBM의 요약에 따르면 검증기는 "사용자가 제출한 코드를 컴파일하고 실행했으며, 여기에는 기본 인수와 데코레이터 같은 함수 정의 시점 평가도 포함된다"고 밝혔습니다. 따라서 공격자는 실행 가능한 표현식을 기본 매개변수나 데코레이터에 몰래 넣을 수 있었습니다. 이것은 안전하지 않은 코드에 대한 비유가 아닙니다. 데코레이터는 이를 둘러싼 def가 구성될 때 평가되므로, 표면상 목적이 함수의 구문을 검사하는 것뿐인 요청도 그 요청에 붙은 것을 그대로 실행합니다. IBM 자체의 연계 권고문도 한 절로 이를 명확히 말합니다 — 검증과 실행은 동일한 작업이었습니다. CVE-2026-8481 공지에 기록된 수정 조치는 "검증 경로에서 코드 실행을 제거하고 컴파일 검사만 수행하는 것"이었습니다.

헌팅에 영향을 미치므로 기록해 둘 만한 작은 불일치가 하나 있습니다. 연쇄 공지에서는 토큰 엔드포인트를 /api/v1/auto_login로 표기하며, Cloud Security Alliance와 Field Effect도 같은 방식으로 표기합니다. IBM의 별도 CVE-2026-9103 공지에서는 이를 /api/v1/login/auto_login로 표기합니다. 두 IBM 문서 모두 동일한 엔드포인트를 설명하고 있으며 동작에 관해서 어느 쪽도 틀리지 않았습니다. 실행 경로는 모든 곳에서 동일하게 표기됩니다: POST /api/v1/validate/code.

날짜는 어디에서 오는가

아카이브는 이 기록의 날짜를 2026년 8월 6일로 표시합니다. 2026년 10월 30일에 확인한 CISA의 카탈로그 항목은 추가 일자를 2026년 8월 4일로 기록하고 교정 기한을 8월 7일로 정합니다. 주변 보도는 아카이브의 날짜 자체보다 그 앞뒤에 위치합니다: Field Effect는 8월 5일에 발행했고, cvetodo와 태국의 국가 컴퓨터 비상 대응팀은 모두 8월 7일에 발행했습니다. 목록, 그 목록이 산출하는 기한, 그리고 그에 대해 작성된 기사는 서로 다른 세 가지 사건이므로 이 날짜들은 서로 모순되지 않습니다 — 하지만 아카이브의 항목과 CISA의 항목 사이의 2일 간격이야말로 정확한 날짜가 중요할 때 카탈로그를 읽어야 하는 이유입니다.

공개 시점은 좀 더 정확히 특정하기 어렵고, 출처들도 실제로 서로 엇갈린다. 연쇄 CVE에 대한 IBM의 공지 페이지에는 초기 게시일이 2026년 7월 2일이며 수정일은 2026년 8월 17일이다. Field Effect는 IBM의 공개 시점을 7월 2일로 본다. Cloud Security Alliance의 8월 18일 연구 노트는 공개 시점과 그에 함께 공개된 1.10.1 릴리스를 7월 17일로 본다. cvetodo도 같은 날짜를 말한다. 두 해석 사이에는 15일이 벌어져 있고 어느 문서도 부주의하게 작성되지 않았으므로, 이 글은 둘 중 어느 쪽도 선택하지 않는다. 어느 쪽이든 확인되는 것은 패치가 KEV 목록보다 먼저 게시되었고, 1.10.1이 이를 포함한 릴리스라는 점이다.

CISA의 등록 항목이 자체 필드에서 정확히 기술하는 내용은 헤드라인보다 범위가 좁습니다. 해당 제품은 공급업체 IBM의 제품 Langflow로 기재되어 있습니다. 취약점은 "기본 Langflow 배포에서 인증되지 않은 공격자가 완전한 원격 코드 실행을 달성할 수 있도록 허용하는" 취약점으로 설명됩니다. 랜섬웨어 캠페인에서의 알려진 사용은 기록상 알 수 없음; 포렌식 트리아지는 BOD 26-04에 따라 필수로 표시됩니다; 그리고 필수 조치는 공급업체 지침에 따라 완화 조치를 적용하는 것, 또는 완화 조치를 사용할 수 없는 경우 해당 제품의 사용을 중단하는 것입니다.

착취 기록

CISA의 등재는 해당 취약점이 실제 공격에 사용되었다고 주장한다. 그 주장을 뒷받침하는 공개 증거는 9.8이 시사하는 것보다 빈약하다. IBM도 CISA도 위협 행위자를 지목하거나 관찰된 캠페인의 세부 정보를 공개하지 않았다. Field Effect는 이를 명백히 밝히며, 세 건의 IBM 게시판이나 KEV 항목 어디에도 이와 모순되는 내용은 없다.

대신 존재하는 것은 업체가 간접적으로 전달한 텔레메트리다. 클라우드 보안 얼라이언스(Cloud Security Alliance)의 노트는 KEVIntel을 인용해, 익스플로잇 시도가 "2026년 7월 6일경"부터 기록되었으며, 얼라이언스 자체 집계로 공개보다 수주 앞섰다고 주장한다. 또한 8월 중순까지 누적 시도가 수백 건으로 늘었고, 수십 개국에 퍼진 수백 개의 고유 인터넷 주소에서 비롯되었다고 한다. 이 수치는 한 모니터링 업체에서 나온 것으로, 이 기사를 위해 검토된 다른 어떤 출처에도 나타나지 않는다. 여기에는 보도된 것이지 입증된 것은 아니다.

시작 날짜는 재검토할 필요가 있다. 시도가 정말 7월 6일경 시작되었다면, 이는 IBM 페이지에 실린 공지 날짜보다 4일 후이며, 다른 두 출처가 제시하는 7월 17일보다 11일 전이다. 따라서 텔레메트리는 어느 공개 날짜도 확인하지도 반박하지도 않는다. Cloud Security Alliance는 선택 없이 두 설명을 모두 제시하며, 초기 활동을 기회주의적 스캐너의 독립적 발견 또는 조정된 공개에 앞선 기술 세부 정보 유출로 설명한다.

공개 익스플로잇 코드는 더 잘 문서화된 부분이다. Field Effect는 해당 공격 체인의 공개 설명을 github.com/0xdak/CVE-2026-9198_exploit 저장소에 있는 '2026년 7월에 공개된 개념 증명(proof-of-concept)'에 기인한다고 설명하며, 그 코드가 자동 로그인 엔드포인트를 통해 슈퍼유저 토큰을 얻은 다음 이를 검증 엔드포인트에 사용하는 것을 보여 준다고 말한다. Field Effect는 해당 저장소의 작성자를 관찰된 어떤 익스플로잇과도 연결하지 않으며, 이 기사도 그렇게 하지 않는다. 또한 검토된 어떤 출처도 익스플로잇된 호스트에서 자격 증명이 탈취되었다고 확인된 사례를 보고하지 않는다. 일반적으로 Langflow 취약점에 동반되는 자격 증명 수집 설명은 그러한 호스트가 무엇을 보유하는지에 관한 평가(아래에서 다룸)이며, 이 기록에서 이름이 거론된 특정 피해자에 관한 발견은 아니다.

확립됨, 보고됨, 미확립됨

• 확인된 사실. CVE-2026-9198은 자동 로그인 엔드포인트의 인증 누락과 코드 검증 엔드포인트의 코드 실행을 연계한다는 점; IBM은 이 체인을 CWE-94 기준으로 9.8로 평가하며, 그 두 절반은 9.8 및 9.9라는 점; Langflow OSS 1.0.0부터 1.10.0까지의 기본 배포가 Windows, macOS 및 Linux 전반에서 영향을 받는다는 점; 1.10.1이 수정 버전이며 IBM은 우회 방법을 게시하지 않는다는 점; 그리고 CISA가 이 CVE를 KEV 카탈로그에 추가했으며 연방 마감일이 2026년 8월 7일이라는 점. 세 IBM 게시판은 기본 문서이며 메커니즘에 관해 서로 일치한다.

• 독립적으로 다시 기술됨. ThaiCERT는 2026년 8월 7일 권고문에서 동일한 두 엔드포인트 체인, 동일한 9.8 점수, 동일한 영향 범위, 동일한 1.10.1 수정 방안을 그대로 재현했으며, IBM 공지문에는 없는 네트워크 통제 한 가지를 추가했다. 즉 Langflow의 관리 인터페이스를 공용 인터넷에 노출하지 말고 VPN이나 엄격한 주소 허용 목록을 통해서만 접근하라는 것이다. 이는 벤더의 문구에 어떠한 이해관계도 없는 정부 기관이 해당 권고문을 어떻게 읽었는지를 뒷받침해 주는 것이지, 그 취약점을 독립적으로 발견했다는 것은 아니다.

• 보고되었으나 교차 확인되지 않음. 모든 악용 수치: 수백 건의 시도, 수백 개의 주소, 수십 개의 국가, 7월 6일경 시작. 이는 한 모니터링 업체의 수치이며, 한 연구 기관을 통해 전달된 것이다. CISA의 목록은 악용이 발생했음을 확인하지만 그 규모를 수치화하지 않으며, 여기서 검토한 자료에는 두 번째 텔레메트리 출처가 나타나지 않는다.

• 확인되지 않음. 지목된 피해자도, 지목된 행위자도 없습니다. 국가나 범죄 집단에 대한 귀속도 없습니다. 인터넷에서 접근 가능했던 Langflow 인스턴스 수에 대한 확인된 수치도 없으며 — cvetodo는 8월 7일 IBM이 악용 규모에 대한 질문에 답하지 않았다고 보도했고 — 이후 이를 정량화한 벤더 성명도 없습니다. 이 아카이브는 이 기록에 신뢰도 A 등급을 부여하고 분쟁 중이라고 표시하지 않으며, 여기서 검토된 어떤 내용도 이에 반박하지 않습니다. 공백은 공개 증거의 공백이지, 결함이 존재하고 사용되었다는 주장의 공백이 아닙니다.

• 의도적으로 제외됨.ThaiCERT의 권고문도 같은 주에 AI가 지시한 자동화된 스캔을 설명하지만, 이를 Langflow가 아니라 동일한 CISA 배치에 포함된 다른 제품에 연결합니다. 이는 이 기록에 관한 증거가 아니며, 여기서 그렇게 사용되지 않습니다.

상장 이후 무엇이 달라졌나요?

공급업체의 해결 방안은 버전 업그레이드이며 그 외에는 없습니다. IBM의 영향을 받는 제품 표에는 Langflow OSS 1.0.0부터 1.10.0까지가 나열되어 있고, 1.10.1이 수정 버전으로 명시되어 있으며, 우회 방법 필드에는 "None"이 들어 있습니다. 이는 세 개의 공지 모두에서 그러합니다. CVE-2026-8481 공지는 그 변경 사항을 설명합니다. 검증기가 실행을 중단하고 컴파일을 시작했습니다. 자동 로그인 부분을 다루는 CVE-2026-9103 공지는 수정 내용을 같은 수준으로 상세히 설명하지 않으며, 여기서 검토한 어떤 IBM 문서에도 1.10.1 릴리스 날짜가 나와 있지 않습니다.

다른 모든 이들의 지침은 공급업체의 지침보다 더 나아간다. Cloud Security Alliance는 업그레이드한 뒤 런타임에서 자동 로그인 엔드포인트가 인증되지 않은 호출자에게 더 이상 토큰을 발급하지 않는지 확인하라고 권고하며, 버전 문자열을 신뢰하지 말라고 한다. 그 이유로 제시된 것은 이전 Langflow 패치가 불완전한 수정 상태로 배포되어 왔다는 점이다. 또한 LANGFLOW_AUTO_LOGIN 환경 설정을 명시적으로 false로 설정하여 플랫폼이 자격 증명을 만들어 내는 대신 실제 자격 증명을 요구하도록 하고, 7월 초부터 인터넷에 노출된 모든 인스턴스를 로그 검토 전까지 침해된 것으로 처리하며, 해당 인스턴스가 접근할 수 있었던 모든 것—모델 공급자 키, 데이터베이스 자격 증명, 클라우드 서비스 키—에 대해 자격 증명을 교체하라고 권고한다. ThaiCERT는 네트워크 측면을 추가한다. 즉, 공용 인터넷에 관리 인터페이스를 두지 말고 VPN 또는 허용 목록만 사용하라는 것이다. 이 두 가지 모두 연구원들의 권고 사항이다. IBM은 아무것도 공개하지 않는다.

한 건의 공로 표기가 기록에 남아 있다. IBM의 감사의 말은 해당 보고서를 Harish Kolla(GitHub 핸들 Har1sh-k)에게 돌린다. 클라우드 보안 얼라이언스(Cloud Security Alliance)는 8월 18일 자 노트에서 CVE-2026-9198을 약 다섯 달 동안 CISA 카탈로그에 오른 네 번째 별개의 비인증 또는 인가 우회 Langflow 취약점으로 위치시키면서 앞선 세 개의 식별자를 명시했으며, 그 해석에 따르면 이 패턴은 서로 무관한 결함들이 아니라 하나의 인증 및 코드 실행 모델에 대한 반복적인 부분 수정을 반영한다. 그와 같은 틀은 연구 노트에서 제시된 얼라이언스의 평가이며, 독립 감사자의 판정이 아니다. 또한 여기에서 검토한 어떤 출처에도 이에 대한 유지관리자들의 공개 대응은 기록되어 있지 않다.

KEV 목록이 해결하는 것과 해결하지 않는 것

CISA의 카탈로그는 관찰된 악용에 대한 단언이지 사고 보고서가 아니며, 이 항목도 그 형식을 지킨다. 이는 해당 취약점이 사용되었음을 말하지만, 누구를 대상으로, 누구에 의해, 얼마나 자주 사용되었는지는 말하지 않는다. 랜섬웨어 사용은 Unknown으로 기록된다. 정량화된 것은 없다. 이 목록이 확정하는 것은 심각도 점수가 답할 수 없는 단 한 가지 질문이다: 그 취약점이 작동하는 개념 증명에서 실제 사용으로 넘어갔는지 여부. BOD 26-04의 적용 범위를 벗어난 조직들—즉 전 세계 대부분—에게는 8월 7일 마감일이 어떤 의무도 부과하지 않으며, 그 뒤에 있는 사실은 의무가 하나 있었더라도 지녔을 것과 동일한 무게를 지닌다.

클라우드 보안 얼라이언스는 동일한 항목에서 운영적 결론을 끌어낸다. 즉, KEV 목록 등재는 익스플로잇이 개념 증명 단계를 지났다는 신뢰할 수 있는 신호이며, 이 취약점의 경우 그 등재는 최초로 기록된 시도들보다 약 한 달 뒤에 이루어졌다는 것이다. 그런 해석에 따르면, 분류 작업 전에 카탈로그를 기다린 사람은 이미 사고를 예방하는 것이 아니라 사고에 대응하고 있었던 것이다. 그것이 특정 배포 환경을 설명하는지는 해당 로그가 답할 문제다. 검색해야 할 엔드포인트 쌍은 IBM이 문서화한 것이며, 그 기록은 답을 대조해 검증할 피해자를 단 한 명도 명시하지 않는다.