Langflow CVE-2026-0768: de 12e Langflow-kwetsbaarheid die dit jaar in het wild wordt misbruikt

CVE-2026-0768 is een niet-geauthenticeerde remote code execution-kwetsbaarheid in Langflow, het open source visuele framework voor het samenstellen van pijplijnen en agents voor grote taalmodellen, en tegen eind augustus 2026 werd het in het wild door aanvallers gebruikt. De kwetsbaarheid zit in de codevalidator achter de custom-component-editor van Langflow: het validate-endpoint accepteert een code-parameter en voert de Python daarin uit, zonder authenticatie en, in de woorden van Zero Day Initiative, "in de context van root." Het Canary-honeypotnetwerk van VulnCheck registreerde meer dan 50 exploitatiepogingen binnen enkele uren na de eerste detecties op 30 augustus 2026, en meer dan 360 op maandag 1 september, allemaal tegen sensoren in het Verenigd Koninkrijk; Caitlin Condon van VulnCheck zei dat het bronverkeer voornamelijk uit Rusland afkomstig was. De verzoeken waren geen ransomware. Ze lazen omgevingsvariabelen met superuserreferenties voor Langflow, OpenAI-API-sleutels en AWS access- en secret keys, en keken vervolgens naar /root/.cache/langflow/secret_key, .ssh en .bash_history. De volledige archiefvermelding voor dit incident, inclusief de classificaties voor ernst, betrouwbaarheid en schade, staat in het Orca AI Incident Archive, naast de andere registraties over credentialdiefstal en AI-infrastructuur die eromheen staan.

Security Affairs publiceerde zijn verslag op 2 september 2026; Ionut Arghire van SecurityWeek meldde de exploitatie de dag ervoor, Bill Toulas van BleepingComputer berichtte er die week over, en het AI Safety Initiative van de Cloud Security Alliance volgde op 4 september met een onderzoeksnotitie die het mechanisme opnieuw uiteenzet en aanbevelingen toevoegt. Geen van de voor dit artikel bekeken berichten noemde een gecompromitteerde organisatie. Alles gaat terug op VulnCheck's eigen sensoren en op het advies dat de Zero Day Initiative in januari publiceerde.

Een editor die uitvoert wat hem gevraagd wordt te valideren.

Het verkoopargument van Langflow is dat je een AI-applicatie samenstelt door componenten op een canvas te slepen. Aangepaste componenten zijn Python: de editor laat een gebruiker code plakken en op valideren drukken, en de server controleert die. Volgens ZDI-advisory ZDI-26-034 voert die controle de code uit. De zin over de grondoorzaak in de advisory is één regel — "het ontbreken van behoorlijke validatie van een door de gebruiker aangeleverde string voordat deze wordt gebruikt om Python-code uit te voeren" — en het gevolg is dat één ongeauthenticeerd HTTP-verzoek willekeurige Python op de host uitvoert.

Drie eigenschappen maken hier een incident van in plaats van een bugrapport. De CVSS-vector is AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, met een score van 9,8: via het netwerk bereikbaar, lage complexiteit, geen privileges, geen gebruikersinteractie, en volledig verlies van vertrouwelijkheid, integriteit en beschikbaarheid. De uitvoeringscontext is root, waardoor de aanvalscommando's die zowel Condon als de Cloud Security Alliance beschrijven, uitkomen bij /root/.cache/langflow/secret_key — het bestand dat Langflow gebruikt om opgeslagen inloggegevens en sessiegegevens te versleutelen. En het endpoint vraagt helemaal geen inloggegevens, dus blootstelling is uitsluitend een functie van bereikbaarheid.

De openbaarmakingsgeschiedenis is van belang voor hoe dit zich heeft afgespeeld. De tijdlijn van ZDI vermeldt dat het rapport op 18 juli 2025 Langflows GitHub-account bereikte, een verzoek om updates op 11 september 2025, een verzoek om de oplossing op 10 oktober 2025, en een kennisgeving van het voornemen om het op 10 december 2025 als zero-day te publiceren. ZDI bracht het advies uit op 9 januari 2026. De onderzoekers die worden vermeld zijn Peter Girnus, William Gamazo Sanchez en Alfredo Oliveira van Trend Research. De adviesdatabase van GitHub bevat dezelfde tekst als GHSA-x5pr-rvjj-j6qm, gepubliceerd op 23 januari 2026, geclassificeerd als CWE-94, en vermeldt helemaal geen bereik van getroffen versies. De door ZDI genoemde mitigatie is geen patch: het is om "de interactie met het product te beperken."

Openbare rapportage plaatst het getroffen bereik bij Langflow-releases tot en met 1.4.2, de versie waartegen de later toegevoegde Metasploit-module is gebouwd en getest. Daar houdt de zekerheid op, en de sectie over oplossingen hieronder zet uiteen waarom.

Wat 360-detecties wel en niet vaststellen

De Canaries van VulnCheck zijn aan het internet blootgestelde sensoren, ontworpen om eruit te zien als het doelwit dat een aanvaller scant. Het bedrijf zag op 29–30 augustus 2026 voor het eerst exploitatie van CVE-2026-0768: meer dan 50 detecties binnen een paar uur op zondag, oplopend tot meer dan 360 op maandag. Condon, vicepresident threat research bij VulnCheck, beschreef de activiteit op LinkedIn als "een mix van verkenning en het oogsten van inloggegevens" en voegde toe dat het bronverkeer voornamelijk uit Rusland afkomstig was en "tot dusver uitsluitend Canaries in het Verenigd Koninkrijk heeft getroffen."

De commando-opeenvolging die de sensoren hebben vastgelegd, is specifiek genoeg om als draaiboek te dienen. Aanvallers bevraagden de omgeving op LANGFLOW_SUPERUSER, op variabelen die overeenkomen met OPENAI_API, en op AWS_ACCESS- en AWS_SECRET-sleutels — de drie categorieën inloggegevens die een Langflow-host het meest waarschijnlijk bevat. Ze lazen de gecachte geheime sleutel op /root/.cache/langflow/secret_key. Ze controleerden op .ssh-toegang en bekeken de grootte van .bash_history, die beide aangeven of een operator zijwaarts kan bewegen in plaats van alleen geheimen te lezen. Een communityverslag over de keten, aangehaald door de Cloud Security Alliance, voegt toe dat dezelfde activiteit broncodebomen en .env-bestanden doorzocht op ingebedde geheimen, exfiltreerde wat het vond, en controleerde of een host al door een eerdere operator van een backdoor was voorzien voordat het zijn eigen persistentie toevoegde.

Wat dat vaststelt, is dat het exploit werkt, dat het tegen vanaf internet bereikbare Langflow-instanties is gebruikt, en dat het doel inloggegevens waren en niet verstoring. Wat het niet vaststelt, is een slachtoffer. Canaries zijn lokmiddelen; een detectie is een verzoek, geen bevestigde diefstal. Het archief classificeert dit record als werkelijke schade, en de schade die in de openbare bronnen wordt gedocumenteerd, is de bevestigde uitvoering van code voor het oogsten van inloggegevens tegen blootgestelde systemen — niet een genoemde organisatie waarvan de sleutels zijn gebruikt.

Eén detail druist in tegen het gebruikelijke verhaal over openbaarmaking. Volgens VulnCheck bestond er geen publiek proof-of-concept voor CVE-2026-0768 toen de exploitatie begon. Het advies was al bijna acht maanden openbaar en beschreef de kwetsbaarheid nauwkeurig genoeg om op basis van de tekst een exploit te bouwen. De lezing van het bedrijf, zoals gemeld door The Hacker News, is dat dit onafhankelijke afleiding was in plaats van hergebruik van uitgelekte code.

Twaalf gebreken, vijftienduizend pogingen — en waar die getallen buigen

Het cijfer dat deze gebeurtenis gewicht geeft, is afkomstig van VulnCheck, en het is de moeite waard om het in de eigen woorden van het bedrijf te citeren in plaats van in een parafrase. "Vóór 2026 toonde bewijs aan dat er slechts één Langflow-kwetsbaarheid bekend was die in het wild werd misbruikt," zei het. "In 2026 is het snel veranderd." SecurityWeek meldt dat VulnCheck "11 extra kwetsbaarheden die het doelwit waren en als in het wild misbruikt werden gerapporteerd" in 2026 heeft gevolgd.

Tel die erbij op en je krijgt twaalf misbruikte Langflow-kwetsbaarheden, waarvan er één van vóór dit jaar dateert. Dat is niet hetzelfde als twaalf in 2026, en de bronnen schuiven heen en weer tussen de twee voorstellingen. De kop van Forkast noemt CVE-2026-0768 "Langflow's 12e misbruikte CVE van 2026", terwijl de tekst van hetzelfde artikel het dozijn omschrijft als "11 nieuwe kwetsbaarheden en één die vóór het begin van het jaar is geïdentificeerd". De titel van het record volgt de kop. Strikt gelezen is 2026 goed voor elf van de twaalf, waarbij de twaalfde — degene die vóór dit jaar bekend was — de rest vormt.

Het cijfer van 15.000 heeft een vergelijkbare kanttekening. SecurityWeek, The Hacker News en Forkast schrijven allemaal "meer dan 15.000 succesvolle aanvallen" toe aan drie met naam genoemde kwetsbaarheden: CVE-2026-0769, CVE-2025-3248 en CVE-2026-5027. Dat is een groot aantal, maar het is een telling over drie CVE's, niet over het volledige portfolio van Langflow voor 2026. Het formuleren als exploitatiepogingen tegen het portfolio — zoals de samenvatting van het archief doet — is ruimer dan wat VulnCheck heeft gepubliceerd.

De afzonderlijke vermeldingen achter het patroon zijn gedocumenteerd. CVE-2025-3248 was een code-injectiekwetsbaarheid in hetzelfde /api/v1/validate/code-endpoint, verholpen in Langflow 1.3.0 door uitvoering te vervangen door validatie die alleen compileert, volgens GitHub-advisory GHSA-rvqx-wpfh-mfx7 zoals aangehaald door de Cloud Security Alliance — wat betekent dat CVE-2026-0768 dezelfde soort bug in hetzelfde codepad is, ongeveer vier maanden nadat die oplossing is uitgebracht. CVE-2026-33017, een niet-geauthenticeerde RCE in het openbare endpoint voor het bouwen van flows, werd binnen ongeveer 20 uur na de openbaarmaking in maart 2026 bewapend en gebruikt om inloggegevens van OpenAI, Anthropic en AWS buit te maken voordat werd overgestapt op Monero-cryptomining, volgens het verslag van de Cloud Security Alliance. De notitie van dezelfde alliantie van 12 juni 2026 behandelt CVE-2026-5027, een path-traversal-kwetsbaarheid in het bestandsupload-endpoint die onderzoekers in verband brachten met de door de Iraanse staat gesteunde groep MuddyWater, en haar notitie van 4 september vermeldt CVE-2026-55255, een autorisatiebypass waarmee een geauthenticeerde gebruiker de flows van een andere gebruiker kan uitvoeren, die op 7 juli 2026 in CISA's Known Exploited Vulnerabilities-catalogus werd opgenomen. Die vier hebben dezelfde vorm: een endpoint dat ofwel authenticatie ofwel sanitisatie oversloeg, in een platform waarvan de taak het is om inloggegevens te bewaren voor alles waarmee het communiceert.

Waarom een orchestratieplatform de moeite waard is

Een productie-instantie van Langflow is geconfigureerd met API-sleutels van providers, cloudreferenties, databaseverbindingsstrings en integratiegeheimen, omdat de flows die erop draaien deze op het moment van de aanroep nodig hebben. Compromittering van de host levert daarom werkende toegang op tot elke service waarvan de instantie de referenties opslaat. Gestolen OpenAI- of Anthropic-sleutels laten een aanvaller inferentie bij het slachtoffer in rekening brengen of zich downstream voordoen als de organisatie; gestolen AWS-sleutels openen infrastructuur die veel verder reikt dan de Langflow-container. Het was op dat hefboomeffect – niet op een AI-specifieke capaciteit – dat de waargenomen commando's het gemunt hadden.

Het oordeel van de Cloud Security Alliance is dat herhaling binnen één jaar across vier verschillende Langflow-subsystemen — codevalidator, openbaar endpoint voor flow-build, bestandsupload, workflowuitvoering — wijst op een systemische kloof in security-engineering en niet op een reeks losstaande defecten. Dat is de beoordeling van de alliantie, gegeven in een onderzoeksnotitie, niet een bevinding van een onafhankelijke auditor, en Langflow heeft daar in het hier beoordeelde materiaal niet publiekelijk op gereageerd.

Wat is er opgelost, en wat is nog steeds ambigu?

Dit is het zwakste onderdeel van de openbare informatie, en het is de moeite waard precies te zijn over waarom. Het advies van ZDI noemt geen gepatchte versie. De database-vermelding van Snyk voor de CVE noemt alle versies vóór 1.10.1 als getroffen en adviseert een upgrade naar 1.10.1 of hoger. Openbare berichtgeving, waaronder SecurityWeek en Security Affairs, beschrijft het getroffen bereik als releases tot en met 1.4.2, maar noemt geen opgeloste release. De Cloud Security Alliance merkte op 4 september op dat de beheerders van Langflow geen afzonderlijk beveiligingsadvies hadden gepubliceerd waarin deze CVE werd genoemd, en dat trackers het er niet over eens waren welke release het daadwerkelijk had verholpen — een ambiguïteit die volgens de alliantie doet denken aan een eerdere Langflow-zaak waarin een versie die als opgelost werd gemeld, exploiteerbaar bleef.

Langflow heeft wel degelijk fixes uitgebracht op het juiste gebied, op de juiste dag. Versie 1.11.6 werd gepubliceerd op 1 september 2026, de maandag waarop het aantal honeypots boven de 360 uitkwam, en de releaseopmerkingen beschrijven een backport van beveiligingsfixes, waaronder 'close component code scan gaps' en 'resolve annotations without execution' (pull request 14876). Versie 1.12.0 volgde die avond. Verdere hardening van hetzelfde codepad ging daarna door: een latere pull request met de titel 'stop validate_code from executing imports' wijst erop dat het validate-endpoint weken na de eerste exploitatie nog steeds werd aangescherpt. Niets daarvan vormt een verklaring van de leverancier dat CVE-2026-0768 in een genoemde release is opgelost, en niets daarvan werd aangetroffen in de bronnen die in het record worden aangehaald.

Wat er aan de aanvallerskant is veranderd, is duidelijker. Een Metasploit-exploitmodule voor de kwetsbaarheid werd op 2 september 2026 als pull request geopend — dezelfde dag dat Security Affairs publiceerde — en op 8 oktober 2026 gemerged, getest tegen Langflow 1.4.2. Wat de staat van de oorspronkelijke afleiding ook was, zes weken nadat deze kwetsbaarheid werd uitgebuit, was er geen origineel werk meer nodig om haar uit te buiten.

De aanbevolen reactie van de Cloud Security Alliance is een patch-en-rotatieprocedure in plaats van alleen een patch: controleer de draaiende versie en ga over naar de huidige stabiele release; behandel elke aan internet blootgestelde instantie op een getroffen versie als gecompromitteerd tot het tegendeel is bewezen, omdat de waargenomen activiteit stille oogst is en geen zichtbare verstoring; en roteer elk geheim dat de instantie kon bereiken — het superuser-wachtwoord van Langflow, API-sleutels van providers, AWS-toegangs- en geheime sleutels, en de geheime sleutel van Langflow zelf — waarbij opgeslagen inloggegevens opnieuw worden versleuteld in plaats van alleen het bestand te vervangen. Het adviseert ook om toegangslogboeken te controleren op verzoeken naar het validate-endpoint, authorized_keys te controleren op onbekende SSH-sleutels en te zoeken naar bewijs dat een eerdere beheerder al een achterdeur op de host had geïnstalleerd. Waar het platform bereikbaar moet blijven, wordt aangeraden het validate-endpoint af te schermen of uit te schakelen en af te stappen van langdurig geldige sleutels met hoge privileges die rechtstreeks in het platform zijn opgeslagen.

Vastgesteld, gerapporteerd en niet vastgesteld

Vastgesteld: dat CVE-2026-0768 een niet-geauthenticeerde RCE is in het validate-endpoint van Langflow die Python als root uitvoert, gedocumenteerd in ZDI-26-034 en gespiegeld als GHSA-x5pr-rvjj-j6qm; dat de exploitatie begon op 29–30 augustus 2026; dat VulnCheck binnen enkele uren meer dan 50 detecties registreerde en meer dan 360 tegen 1 september, tegen Britse sensoren, met verkeer voornamelijk afkomstig uit Rusland; en dat de waargenomen verzoeken zich richtten op Langflow-superuser-, OpenAI- en AWS-referenties plus de gecachte geheime sleutel, .ssh en .bash_history. Deze zijn afkomstig uit het advies zelf en uit de telemetrie van VulnCheck, zoals onafhankelijk gerapporteerd door SecurityWeek, Security Affairs en The Hacker News.

Gerapporteerd, niet onafhankelijk geverifieerd: elk detectieaantal. De 50, de 360 en de 15.000 zijn de eigen cijfers van VulnCheck, gepubliceerd door het bedrijf en herhaald door media die VulnCheck als bron vermelden; geen enkel tweede honeypotnetwerk heeft een bevestigend aantal gepubliceerd. De toeschrijving aan Russische infrastructuur is eveneens hoe VulnCheck het bronverkeer interpreteert, en niet een beoordeling die enige overheid of CERT in het beoordeelde materiaal heeft onderschreven.

Niet vastgesteld: dat een genoemde organisatie inloggegevens heeft verloren. In de bronnen van het dossier is geen slachtoffer geïdentificeerd. Evenmin is er een bevestigde gepatchte versie: ZDI noemt er geen, Snyk zegt 1.10.1, berichtgeving meldt dat versies tot en met 1.4.2 getroffen zijn, en de releaseopmerkingen van 1.11.6 beschrijven beveiligingsoplossingen zonder die aan deze CVE te koppelen. Ook de telling van de "twaalfde kwetsbaarheid van 2026" is niet consistent binnen de eigen bronnen, zoals hierboven uiteengezet.

Het deel dat mensen die volgens een schema patchen zorgen zou moeten baren

Het gat van acht maanden is de bevinding. CVE-2026-0768 werd op 9 januari 2026 als zero-day gepubliceerd, met een technische beschrijving die gedetailleerd genoeg was om het vanaf te reconstrueren, en tegen de sensoren van VulnCheck gebeurde er niets tot het laatste weekend van augustus. Toen kwamen er in drie dagen tijd enkele honderden pogingen binnen, van actoren die volgens het bedrijf geen publiek exploit hadden om te kopiëren. Wat die instanties ook acht maanden lang ongepatcht hield na een publieke kritieke waarschuwing, het is hetzelfde dat de kwetsbaarheid de moeite waard maakte om uit te buiten toen iemand eindelijk de code schreef.

Het sluit ook een lus die de eerdere Langflow-CVE's openden. CVE-2025-3248 werd verholpen door uitvoering uit hetzelfde validatiepad te verwijderen; CVE-2026-0768 zorgt op dat pad toch voor uitvoering. Een oplossing die een gedrag verwijdert zonder de ontwerpbeslissing die het heeft voortgebracht te verwijderen, koopt tijd, en in dit geval kocht die ongeveer vier maanden.