Langflow CVE-2026-0768: den 12:e Langflow-sårbarheten som utnyttjats i det vilda i år

CVE-2026-0768 är en oautentiserad sårbarhet för fjärrkörning av kod i Langflow, det öppna visuella ramverket för att sätta samman pipelines och agenter för stora språkmodeller, och i slutet av augusti 2026 användes den av angripare i skarpa attacker. Sårbarheten finns i kodvalideraren bakom Langflows redigerare för anpassade komponenter: validate-slutpunkten tar emot en code-parameter och kör Python-koden som den innehåller, utan autentisering och, enligt Zero Day Initiatives formulering, "i root-kontext". VulnChecks Canary-honeynätverk registrerade fler än 50 exploateringsförsök inom några timmar från de första upptäckterna den 30 augusti 2026, och fler än 360 till måndagen den 1 september, alla mot sensorer i Storbritannien; VulnChecks Caitlin Condon sade att källtrafiken huvudsakligen kom från Ryssland. Förfrågningarna var inte ransomware. De läste miljövariabler som innehöll Langflow-superanvändaruppgifter, OpenAI API-nycklar samt AWS-åtkomstnycklar och hemliga nycklar, och letade sedan i /root/.cache/langflow/secret_key, .ssh och .bash_history. Arkivets fullständiga post för den här incidenten, inklusive dess klassificeringar av allvarlighetsgrad, konfidens och skada, finns i the Orca AI Incident Archive, tillsammans med de andra posterna om stöld av autentiseringsuppgifter och AI-infrastruktur som omger den.

Security Affairs publicerade sin redogörelse den 2 september 2026; SecurityWeeks Ionut Arghire rapporterade om exploateringen dagen innan, BleepingComputers Bill Toulas bevakade den under veckan, och Cloud Security Alliances AI Safety Initiative följde den 4 september med en forskningsnotis som upprepar mekanismen och lägger till rekommendationer. Ingen av de redogörelser som granskats för den här artikeln namngav någon drabbad organisation. Allt går tillbaka till VulnChecks egna sensorer och till den rådgivning som Zero Day Initiative publicerade i januari.

En redigerare som kör det den ombeds att validera

Langflows försäljningsargument är att man bygger en AI-applikation genom att dra komponenter till en arbetsyta. Anpassade komponenter är Python: editorn låter en användare klistra in kod och trycka på validera, och servern kontrollerar den. Enligt ZDI-rådgivningen ZDI-26-034 kör den kontrollen koden. Rådgivningens rotorsaksmening är en rad – "bristen på korrekt validering av en användartillhandahållen sträng innan den används för att köra Python-kod" – och resultatet är att en enda oautentiserad HTTP-förfrågan kör godtycklig Python på värden.

Tre egenskaper gör att detta blir en incident i stället för en felrapport. CVSS-vektorn är AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, med poängen 9,8: nåbar över nätverket, låg komplexitet, inga privilegier, ingen användarinteraktion och total förlust av konfidentialitet, integritet och tillgänglighet. Exekveringskontexten är root, vilket är anledningen till att attackerns kommandon som både Condon och Cloud Security Alliance beskriver riktar sig mot /root/.cache/langflow/secret_key — filen som Langflow använder för att kryptera lagrade autentiseringsuppgifter och sessionsdata. Och slutpunkten efterfrågar inga autentiseringsuppgifter alls, så exponeringen är enbart en funktion av nåbarheten.

Historiken kring offentliggörandet har betydelse för hur detta utspelade sig. ZDI:s tidslinje visar att rapporten nådde Langflows GitHub-konto den 18 juli 2025, en begäran om uppdateringar den 11 september 2025, en begäran om rättningen den 10 oktober 2025 och ett meddelande om avsikt att publicera som en zero-day den 10 december 2025. ZDI publicerade säkerhetsmeddelandet den 9 januari 2026. Forskarna som krediteras är Peter Girnus, William Gamazo Sanchez och Alfredo Oliveira från Trend Research. GitHubs rådgivningsdatabas innehåller samma text som GHSA-x5pr-rvjj-j6qm, publicerad den 23 januari 2026, klassificerad som CWE-94, och anger över huvud taget inget påverkat versionsintervall. ZDI:s angivna mildrande åtgärd är inte en patch: den består i att "begränsa interaktionen med produkten".

Offentliga rapporter anger att det påverkade intervallet omfattar Langflow-versioner upp till och med 1.4.2, den version som Metasploit-modulen som lades till senare byggdes och testades mot. Det är där vissheten tar slut, och avsnittet om åtgärder nedan förklarar varför.

Vad 360-detektioner fastställer och inte fastställer

VulnChecks Canaries är internetexponerade sensorer byggda för att se ut som det en angripare skannar efter. Företaget såg den första exploateringen av CVE-2026-0768 den 29–30 augusti 2026: mer än 50 upptäckter inom några timmar på söndagen, och över 360 till måndagen. Condon, VulnChecks vicepresident för hotforskning, beskrev aktiviteten på LinkedIn som ”en blandning av spaning och inhämtning av inloggningsuppgifter” och tillade att källtrafiken huvudsakligen härstammade från Ryssland och ”hittills uteslutande hade drabbat Canaries i Storbritannien”.

Kommandosekvensen som sensorerna fångade är tillräckligt specifik för att vara en spelbok. Angriparna frågade miljön efter LANGFLOW_SUPERUSER, efter variabler som matchar OPENAI_API och efter AWS_ACCESS- och AWS_SECRET-nycklar – de tre typer av autentiseringsuppgifter som en Langflow-värd mest sannolikt innehåller. De läste den cachade hemliga nyckeln på /root/.cache/langflow/secret_key. De kontrollerade .ssh-åtkomst och granskade storleken på .bash_history, vilket båda visar om en operatör kan röra sig i sidled i stället för att bara läsa hemligheter. En community-sammanställning av kedjan, som citeras av Cloud Security Alliance, tillägger att samma aktivitet sökte i källkodsträd och .env-filer efter inbäddade hemligheter, exfiltrerade det man hittade och kontrollerade om en värd redan hade försetts med en bakdörr av en tidigare operatör innan man lade till sin egen persistens.

Det som detta visar är att exploateringen fungerar, att den användes mot internetexponerade Langflow-instanser och att målet var autentiseringsuppgifter snarare än störning. Det som det inte visar är att det finns ett offer. Kanariefåglar är lockbeten; en upptäckt är en begäran, inte en bekräftad stöld. Arkivet klassificerar denna post som faktisk skada, och den skada som dokumenteras i de offentliga källorna är den bekräftade körningen av kod för insamling av autentiseringsuppgifter mot exponerade system – inte en namngiven organisation vars nycklar användes.

En detalj talar emot den vanliga berättelsen om avslöjandet. Enligt VulnCheck fanns inget offentligt proof-of-concept för CVE-2026-0768 när exploateringen började. Säkerhetsrådgivningen hade varit offentlig i nästan åtta månader och beskrev sårbarheten tillräckligt exakt för att någon skulle kunna bygga en exploit utifrån texten. Företagets bedömning, enligt The Hacker News, är att detta var en oberoende härledning snarare än återanvändning av läckt kod.

Tolv brister, femton tusen försök – och där siffrorna böjer sig

Den statistik som ger denna incident dess tyngd kommer från VulnCheck, och den är värd att citera med företagets egna ord snarare än i omskrivning. "Före 2026 visade bevisen att endast en Langflow-sårbarhet var känd för att utnyttjas i det vilda", sade det. "Under 2026 har saker och ting förändrats snabbt." SecurityWeek rapporterar att VulnCheck spårar "11 ytterligare sårbarheter som varit måltavlor för och rapporterats som utnyttjade i det vilda" under 2026.

Lägger man till dem får man tolv utnyttjade Langflow-sårbarheter, varav en föregår detta år. Det är inte samma sak som tolv under 2026, och källorna glider mellan de två framställningarna. Forkasts rubrik kallar CVE-2026-0768 för "Langflows 12:e utnyttjade CVE 2026", medan samma artikels brödtext beskriver de tolv som "11 nya sårbarheter och en som identifierades före årets början". Postens titel följer rubriken. Läst strikt står 2026 för elva av de tolv, där den tolfte – den som var känd före detta år – utgör resten.

Siffran 15 000 har en jämförbar udd. SecurityWeek, The Hacker News och Forkast tillskriver alla "över 15 000 lyckade attacker" till tre namngivna sårbarheter: CVE-2026-0769, CVE-2025-3248 och CVE-2026-5027. Det är en stor siffra, men det är en räkning över tre CVE:er, inte över hela Langflows 2026-portfölj. Att formulera det som exploateringsförsök mot portföljen – så som arkivets sammanfattning gör – är bredare än vad VulnCheck publicerade.

De enskilda posterna bakom mönstret finns dokumenterade. CVE-2025-3248 var ett kodinjiceringsfel i samma /api/v1/validate/code-endpoint, åtgärdat i Langflow 1.3.0 genom att ersätta exekvering med validering som endast kompilerar, enligt GitHub-rådgivningen GHSA-rvqx-wpfh-mfx7 såsom citerad av Cloud Security Alliance – vilket innebär att CVE-2026-0768 är samma typ av bugg i samma kodväg, ungefär fyra månader efter att den åtgärden släpptes. CVE-2026-33017, en oautentiserad RCE i den publika endpointen för flödesbygge, användes som vapen inom cirka 20 timmar från att den avslöjades i mars 2026 och användes för att ta autentiseringsuppgifter för OpenAI, Anthropic och AWS innan den gick vidare till Monero-kryptominning, enligt Cloud Security Alliances redogörelse. Noteringen från samma allians den 12 juni 2026 behandlar CVE-2026-5027, en path traversal-sårbarhet i filuppladdningsendpointen som forskare kopplade till den iranskt statligt sponsrade gruppen MuddyWater, och dess notering av den 4 september registrerar CVE-2026-55255, en behörighetsbypass som låter en autentiserad användare köra en annan användares flöden, som togs upp i CISA:s katalog Known Exploited Vulnerabilities den 7 juli 2026. De fyra har en gemensam form: en endpoint som antingen hoppade över autentisering eller hoppade över indatasanering, i en plattform vars uppgift är att hålla autentiseringsuppgifter för allt den kommunicerar med.

Varför en orkestreringsplattform är värd besväret

En produktionsinstans av Langflow är konfigurerad med leverantörs-API-nycklar, molnuppgifter, databasanslutningssträngar och integrationshemligheter, eftersom flödena den kör behöver dem vid anropstillfället. Om värddatorn komprometteras får angriparen därför fungerande åtkomst till varje tjänst vars uppgifter instansen lagrar. Stulna OpenAI- eller Anthropic-nycklar gör att en angripare kan lägga inferenskostnader på offret eller utge sig för organisationen nedströms; stulna AWS-nycklar öppnar infrastruktur långt utanför Langflow-containern. Det var den hävstången, snarare än någon AI-specifik förmåga, som de observerade kommandona var ute efter.

Cloud Security Alliances bedömning är att samma typ av problem återkommer i fyra olika Langflow-delsystem under ett och samma år – kodvaliderare, offentlig slutpunkt för att bygga flöden, filuppladdning och arbetsflödeskörning – och att detta pekar på en systemisk lucka i säkerhetsingenjörsarbetet snarare än en rad orelaterade defekter. Det är alliansens bedömning, framförd i en forskningsnot, inte ett fynd från en oberoende revisor, och Langflow har inte svarat på den offentligt i det material som granskats här.

Vad har åtgärdats, och vad är fortfarande oklart?

Detta är den svagaste delen av det offentliga underlaget, och det är värt att vara precis om varför. ZDI:s rådgivning namnger ingen patchad version. Snyks databaspost för CVE:n listar alla versioner före 1.10.1 som påverkade och rekommenderar uppgradering till 1.10.1 eller högre. Offentlig rapportering, inklusive SecurityWeek och Security Affairs, beskriver det påverkade intervallet som utgåvor fram till 1.4.2 men identifierar ingen åtgärdad version. Cloud Security Alliance noterade den 4 september att Langflows underhållare inte hade publicerat någon särskild säkerhetsrådgivning som namnger denna CVE, och att trackerarna var oeniga om vilken utgåva som faktiskt åtgärdade den – en otydlighet som alliansen säger påminner om ett tidigare Langflow-fall där en version som rapporterades som åtgärdad fortfarande var exploaterbar.

Langflow levererade faktiskt åtgärder inom rätt område, på rätt dag. Version 1.11.6 publicerades den 1 september 2026, måndagen då honeypot-antalet passerade 360, och dess versionsinformation beskriver en backport av säkerhetsåtgärder, bland annat ”täppa igen luckor i komponentskodskanningen” och ”lösa annoteringar utan exekvering” (pull request 14876). Version 1.12.0 följde samma kväll. Ytterligare härdning av samma kodväg fortsatte därefter: en senare pull request med titeln ”hindra validate_code från att exekvera importer” tyder på att validate-endpointen fortfarande skärptes veckor efter det första utnyttjandet. Inget av detta utgör ett leverantörsuttalande om att CVE-2026-0768 är åtgärdad i en namngiven version, och inget sådant hittades i de källor som anges i posten.

Det som förändrades på angriparens sida är tydligare. En Metasploit-exploitmodul för sårbarheten öppnades som en pull request den 2 september 2026 – samma dag som Security Affairs publicerade – och mergades den 8 oktober 2026, testad mot Langflow 1.4.2. Oavsett hur det står till med den ursprungliga härledningen slutade utnyttjandet av denna sårbarhet att kräva originellt arbete sex veckor efter att den började utnyttjas.

Cloud Security Alliances rekommenderade åtgärd är en sekvens med patchning och rotation snarare än enbart en patch: verifiera den körande versionen och uppgradera till den aktuella stabila versionen; behandla varje internetexponerad instans på en påverkad version som komprometterad tills motsatsen bevisats, eftersom den observerade aktiviteten är tyst insamling snarare än synlig störning; och rotera varje hemlighet som instansen kan nå – Langflows superanvändarlösenord, leverantörers API-nycklar, AWS-åtkomst- och hemliga nycklar samt själva Langflow-hemlighetsnyckeln, och kryptera om lagrade autentiseringsuppgifter i stället för att bara ersätta filen. Den rekommenderar också att granska åtkomstloggar för förfrågningar till validate-slutpunkten, kontrollera authorized_keys för okända SSH-nycklar och leta efter bevis på att en tidigare operatör redan hade installerat en bakdörr på värden. Där plattformen måste förbli nåbar föreslår den att validate-slutpunkten begränsas eller inaktiveras och att man överger långlivade nycklar med hög behörighet som lagras direkt i plattformen.

Etablerad, rapporterad och inte etablerad

Fastställt: att CVE-2026-0768 är en oautentiserad RCE i Langflows validate-endpoint som kör Python som root, dokumenterad i ZDI-26-034 och speglad som GHSA-x5pr-rvjj-j6qm; att utnyttjandet började den 29–30 augusti 2026; att VulnCheck registrerade fler än 50 detektioner inom loppet av timmar och fler än 360 den 1 september, mot brittiska sensorer, med trafik huvudsakligen från Ryssland; och att de observerade förfrågningarna riktade in sig på autentiseringsuppgifter för Langflow-superanvändare, OpenAI och AWS samt den cachade hemliga nyckeln, .ssh och .bash_history. Dessa uppgifter kommer från själva rådgivningen och från VulnChecks telemetri enligt oberoende rapporter från SecurityWeek, Security Affairs och The Hacker News.

Rapporterat, inte oberoende verifierat: varje upptäcktssiffra. Siffrorna 50, 360 och 15 000 är VulnCheck:s egna siffror, publicerade av företaget och upprepade av medier som anger det som källa; inget annat honeypot-nätverk har publicerat en bekräftande siffra. Tillskrivningen till rysk infrastruktur är på samma sätt VulnCheck:s läsning av källtrafiken, inte en bedömning som någon regering eller något CERT har ställt sig bakom i det granskade materialet.

Inte fastställt: att någon namngiven organisation förlorade autentiseringsuppgifter. Ingen drabbad har identifierats i registrets källor. Det finns inte heller någon bekräftad patchad version: ZDI anger ingen, Snyk säger 1.10.1, rapporteringen säger påverkad till och med 1.4.2, och versionsnoteringarna för 1.11.6 beskriver säkerhetskorrigeringar utan att koppla dem till denna CVE. Inte heller är räkningen "tolfte bristen 2026" internt konsekvent mellan dess egna källor, såsom angivits ovan.

Det som borde oroa dem som patchar enligt ett schema

Gapet på åtta månader är själva fyndet. CVE-2026-0768 publicerades som en zero-day den 9 januari 2026, med en teknisk beskrivning som var tillräckligt detaljerad för att återskapa den utifrån, och ingenting hände mot VulnChecks sensorer förrän den sista helgen i augusti. Sedan kom flera hundra försök under tre dagar, från aktörer som enligt företagets uppgifter inte hade någon offentlig exploit att kopiera. Det som höll dessa instanser ouppdaterade under åtta månader av ett offentligt kritiskt säkerhetsmeddelande är samma sak som gjorde sårbarheten värd att utnyttja när någon till slut skrev koden.

Det sluter också en cirkel som de tidigare Langflow-CVE:erna öppnade. CVE-2025-3248 åtgärdades genom att ta bort exekvering från samma validate-sökväg; CVE-2026-0768 exekverar ändå på den sökvägen. En åtgärd som tar bort ett beteende utan att ta bort det designbeslut som skapade det köper tid, och i det här fallet köpte den ungefär fyra månader.