CVE-2026-9198: Langflow tạo token siêu người dùng cho bất kỳ ai, rồi thực thi những gì họ gửi

Bản tin của IBM về CVE-2026-9198 mô tả một cuộc chiếm quyền Langflow OSS chỉ bằng hai yêu cầu: một lệnh gọi tới endpoint tự đăng nhập của nền tảng sẽ trả về token bearer quyền siêu người dùng cho bất kỳ ai yêu cầu, và lệnh gọi thứ hai gửi mã Python tới endpoint kiểm tra mã, nơi mã đó được thực thi. Nhà cung cấp xếp hai nửa của chuỗi dưới các mã định danh riêng — CVE-2026-9103 cho lỗi thiếu xác thực, CVE-2026-8481 cho việc thực thi — và đánh giá kết hợp ở mức 9.8 theo CVSS 3.1, có thể tiếp cận qua mạng mà không cần đặc quyền và không cần tương tác của người dùng. Các triển khai mặc định trên phiên bản 1.0.0 đến 1.10.0 đều bị ảnh hưởng; biện pháp khắc phục là 1.10.1, và IBM không liệt kê biện pháp thay thế nào. Cơ quan An ninh mạng và Hạ tầng Cơ sở Hoa Kỳ đã thêm CVE này vào danh mục Lỗ hổng Đã biết Bị Khai thác vào ngày 4 tháng 8 năm 2026, với hạn chót khắc phục liên bang là ngày 7 tháng 8. Bản ghi, các thẻ mức độ nghiêm trọng và thiệt hại của nó, cùng các mục được lưu xung quanh nó đều được lưu giữ trong Kho Lưu trữ Sự cố Orca AI, nơi liệt kê sự cố này cùng với phần còn lại của loạt bài.

Chuỗi, qua ba bản tin IBM

IBM công bố lỗ hổng này dưới dạng ba tài liệu thay vì một, và đọc chúng cùng nhau chính là điều khiến cơ chế trở nên dễ hiểu. Toàn bộ chuỗi là CVE-2026-9198, một vấn đề chèn mã thuộc CWE-94, được chấm 9.8 với vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — có thể truy cập qua mạng, độ phức tạp thấp, không cần đặc quyền, không cần tương tác người dùng, và tác động cao đến tính bảo mật, tính toàn vẹn và tính sẵn sàng. Nửa đầu của nó, CVE-2026-9103, là thiếu xác thực đối với một chức năng quan trọng thuộc CWE-306, cũng 9.8. Nửa sau của nó, CVE-2026-8481, lại là CWE-94 nhưng được chấm 9.9: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, đặc quyền thấp thay vì không có, và phạm vi đã thay đổi.

Điểm 9.9 là phần trung thực của phép tính. Endpoint xác thực mã chưa bao giờ tự nó mở cho người lạ — IBM mô tả đó là lỗ hổng cho phép “bất kỳ người dùng đã xác thực nào thực thi các lệnh hệ thống tùy ý với toàn bộ đặc quyền của tiến trình máy chủ Langflow”. Điều khiến chuỗi không cần xác thực là nửa đầu tiên: endpoint đăng nhập tự động, mà theo mô tả của IBM, “phát hành token bearer siêu người dùng có thời hạn dài mà không yêu cầu xác thực khi cấu hình AUTO_LOGIN được bật (được bật theo mặc định)”. Bản tin bổ sung rằng các token có thời hạn 365 ngày, và ghi nhận một con đường phơi nhiễm thứ hai ít được chú ý hơn — mặc định chia sẻ tài nguyên nguồn gốc chéo dễ dãi cho phép nguồn gốc ký tự đại diện đi kèm thông tin xác thực, mà theo IBM “có thể tạo điều kiện đánh cắp token kiểu drive-by từ bất kỳ trang web nào”.

Phần thực thi mới là phần đáng bàn kỹ. Bản tóm tắt của IBM cho biết trình xác thực đã "biên dịch và thực thi mã do người dùng gửi lên, bao gồm cả các đánh giá tại thời điểm định nghĩa hàm như đối số mặc định và decorator", và rằng do đó kẻ tấn công có thể lén đưa một biểu thức có thể thực thi vào tham số mặc định hoặc một decorator. Đó không phải là cách nói bóng gió về mã không an toàn: một decorator được đánh giá khi def bao quanh được tạo ra, nên một yêu cầu mà mục đích được nêu duy nhất là kiểm tra cú pháp của một hàm vẫn chạy bất cứ thứ gì được gắn vào nó. Bản tư vấn chuỗi của chính IBM cũng nói đúng như vậy trong một mệnh đề duy nhất — xác thực và thực thi là cùng một thao tác. Bản sửa lỗi được ghi trong bản tin CVE-2026-8481 là "loại bỏ việc thực thi mã khỏi luồng xác thực và chỉ thực hiện kiểm tra biên dịch."

Một điểm khác biệt nhỏ đáng được ghi lại vì nó ảnh hưởng đến việc săn tìm. Bản tin trong chuỗi viết endpoint token là /api/v1/auto_login, và Cloud Security Alliance cùng Field Effect cũng vậy; bản tin CVE-2026-9103 riêng của IBM viết là /api/v1/login/auto_login. Cả hai tài liệu IBM đều mô tả cùng một endpoint và không tài liệu nào sai về hành vi. Đường dẫn thực thi được viết giống hệt nhau ở mọi nơi: POST /api/v1/validate/code.

Ngày tháng đến từ đâu

Kho lưu trữ ghi ngày của bản ghi này là 6 tháng 8 năm 2026. Mục trong danh mục của CISA, được đọc vào ngày 30 tháng 10 năm 2026, ghi nhận việc bổ sung là 4 tháng 8 năm 2026 và đặt hạn chót khắc phục vào 7 tháng 8. Các bài đưa tin xung quanh nằm ở hai bên ngày của kho lưu trữ thay vì vào chính ngày đó: Field Effect xuất bản ngày 5 tháng 8, còn cvetodo và đội ứng phó sự cố máy tính quốc gia của Thái Lan đều xuất bản ngày 7 tháng 8. Một mục niêm yết, hạn chót mà nó tạo ra và các bài viết về nó là ba sự kiện khác nhau, vì vậy những ngày này không mâu thuẫn với nhau — nhưng khoảng cách hai ngày giữa trường ngày trong kho lưu trữ và của CISA chính là lý do nên đọc danh mục khi ngày chính xác là điều quan trọng.

Việc xác định thời điểm công bố khó nắm chắc hơn, và các nguồn thực sự không thống nhất với nhau. Trang thông báo của IBM về CVE trong chuỗi này ghi ngày công bố ban đầu là ngày 2 tháng 7 năm 2026 và ngày sửa đổi là ngày 17 tháng 8 năm 2026. Field Effect xác định thời điểm IBM công bố là ngày 2 tháng 7. Ghi chú nghiên cứu ngày 18 tháng 8 của Cloud Security Alliance lại đặt thời điểm công bố, cùng với việc phát hành phiên bản 1.10.1 đi kèm, vào ngày 17 tháng 7; cvetodo cũng nói như vậy. Hai cách đọc này cách nhau mười lăm ngày và không tài liệu nào trong số đó là cẩu thả, nên bài viết này không chọn bên nào. Dù theo cách nào thì điều đã được xác lập là bản vá được phát hành trước khi có danh sách KEV, và 1.10.1 chính là bản phát hành mang theo nó.

Điều mà mục nhập của CISA nêu chính xác, trong các trường riêng của mục đó, hẹp hơn tiêu đề của nó. Sản phẩm nằm dưới nhà cung cấp IBM với sản phẩm Langflow; lỗ hổng được mô tả là lỗ hổng "cho phép kẻ tấn công chưa xác thực đạt được thực thi mã từ xa đầy đủ trên các triển khai Langflow mặc định"; việc sử dụng đã biết trong các chiến dịch ransomware được ghi nhận là Không rõ; việc phân tích sơ bộ pháp y được đánh dấu là bắt buộc theo BOD 26-04; và hành động bắt buộc là áp dụng các biện pháp giảm thiểu theo hướng dẫn của nhà cung cấp, hoặc ngừng sử dụng sản phẩm khi không có biện pháp giảm thiểu.

Hồ sơ khai thác

Danh sách của CISA khẳng định lỗ hổng đã bị khai thác trong thực tế. Bằng chứng công khai đằng sau khẳng định đó mỏng hơn mức 9,8 gợi ý. Cả IBM lẫn CISA đều chưa nêu tên một tác nhân đe dọa hay công bố chi tiết về một chiến dịch đã quan sát được — Field Effect nói thẳng điều này, và không có nội dung nào trong ba bản tin của IBM hay mục KEV mâu thuẫn với điều đó.

Thay vào đó, thứ hiện diện là dữ liệu đo từ xa của nhà cung cấp được chuyển tiếp gián tiếp. Ghi chú của Cloud Security Alliance trích dẫn KEVIntel cho tuyên bố rằng các nỗ lực khai thác đã được ghi nhận bắt đầu từ “khoảng ngày 6 tháng 7 năm 2026”, sớm hơn vài tuần so với thời điểm công bố theo cách tính của chính liên minh, và rằng tính đến giữa tháng 8, tổng số nỗ lực tích lũy đã tăng lên hàng trăm, bắt nguồn từ vài trăm địa chỉ internet riêng biệt trải khắp hàng chục quốc gia. Những con số đó đến từ một công ty giám sát duy nhất và không xuất hiện trong bất kỳ nguồn nào khác được xem xét cho bài viết này. Chúng được đưa tin ở đây, chứ không được xác nhận.

Ngày bắt đầu đáng để xem xét kỹ hơn. Nếu các nỗ lực thực sự bắt đầu vào khoảng ngày 6 tháng 7, thì đó là bốn ngày sau ngày bản tin mà trang của IBM đăng tải, và mười một ngày trước ngày 17 tháng 7 mà hai nguồn khác đưa ra. Do đó, dữ liệu telemetry không xác nhận cũng không bác bỏ ngày công bố nào trong hai ngày đó; Cloud Security Alliance đưa ra cả hai lời giải thích mà không chọn lựa, mô tả hoạt động sớm là hoặc do các công cụ quét cơ hội phát hiện độc lập, hoặc do rò rỉ chi tiết kỹ thuật trước khi công bố phối hợp.

Mã khai thác công khai là phần được tài liệu hóa rõ hơn. Field Effect quy nguồn mô tả công khai của chuỗi này cho “một bản chứng minh khái niệm công khai được công bố vào tháng 7 năm 2026” tại kho lưu trữ github.com/0xdak/CVE-2026-9198_exploit, và cho biết mã này chứng minh việc lấy được token siêu người dùng thông qua điểm cuối tự động đăng nhập rồi dùng token đó đối với điểm cuối xác thực. Field Effect không liên hệ tác giả của kho lưu trữ đó với bất kỳ vụ khai thác nào được quan sát, và bài viết này cũng vậy. Cũng không có nguồn nào được xem xét báo cáo một vụ đánh cắp thông tin đăng nhập đã được xác nhận từ một máy chủ bị khai thác: mô tả thu thập thông tin đăng nhập thường đi kèm với các lỗ hổng Langflow nói chung là đánh giá về những gì một máy chủ như vậy nắm giữ, được đề cập bên dưới, chứ không phải là phát hiện về bất kỳ nạn nhân được nêu tên nào trong hồ sơ này.

Đã thiết lập, đã báo cáo và chưa thiết lập

• Đã được xác nhận. Rằng CVE-2026-9198 kết hợp lỗi thiếu xác thực trong endpoint đăng nhập tự động với khả năng thực thi mã trong endpoint kiểm tra mã; rằng IBM đánh giá chuỗi lỗ hổng này ở mức 9.8 theo CWE-94 và hai nửa của nó ở mức 9.8 và 9.9; rằng các triển khai mặc định của Langflow OSS 1.0.0 đến 1.10.0 đều bị ảnh hưởng trên Windows, macOS và Linux; rằng 1.10.1 là bản vá và IBM không công bố biện pháp khắc phục nào; và rằng CISA đã thêm CVE này vào danh mục KEV với hạn chót liên bang là ngày 7 tháng 8 năm 2026. Ba bản tin của IBM là các tài liệu chính và chúng thống nhất với nhau về cơ chế.

• Được nêu lại một cách độc lập.ThaiCERT đã tái hiện chuỗi hai điểm cuối giống hệt, điểm số 9.8 giống hệt, phạm vi bị ảnh hưởng giống hệt và biện pháp khắc phục 1.10.1 giống hệt trong khuyến cáo ngày 7 tháng 8 năm 2026 của mình, đồng thời bổ sung một biện pháp kiểm soát mạng mà các bản tin IBM không có: giữ giao diện quản trị của Langflow ngoài internet công cộng và chỉ truy cập giao diện này qua VPN hoặc một danh sách địa chỉ được phép nghiêm ngặt. Đó là sự xác nhận về cách khuyến cáo đã được diễn giải, bởi một cơ quan chính phủ không có lợi ích gắn với cách diễn đạt của nhà cung cấp — không phải là sự phát hiện độc lập về lỗ hổng.

• Được báo cáo, chưa được xác thực.Mọi con số khai thác: hàng trăm nỗ lực, vài trăm địa chỉ, hàng chục quốc gia, bắt đầu vào khoảng ngày 6 tháng 7. Đây là số liệu của một công ty giám sát, được một cơ quan nghiên cứu chuyển tiếp. Danh mục của CISA xác nhận rằng việc khai thác đã xảy ra mà không định lượng nó, và không có nguồn telemetry thứ hai nào xuất hiện trong tài liệu được xem xét ở đây.

• Chưa được xác lập. Không có nạn nhân nào được nêu tên và không có tác nhân nào được nêu tên. Không có quy kết cho một quốc gia hay một nhóm tội phạm. Không có con số được xác nhận về số lượng phiên bản Langflow có thể truy cập được từ internet — cvetodo đã báo cáo vào ngày 7 tháng 8 rằng IBM chưa trả lời các câu hỏi về quy mô khai thác — và không có tuyên bố nào từ nhà cung cấp định lượng được điều đó kể từ đó. Kho lưu trữ xếp bản ghi này ở mức tin cậy A và không đánh dấu là đang bị tranh chấp, và không có nội dung nào được xem xét tại đây tranh chấp điều đó; những khoảng trống là khoảng trống trong bằng chứng công khai, không phải trong tuyên bố rằng lỗ hổng tồn tại và đã bị khai thác.

• Cố ý loại trừ.Khuyến cáo của ThaiCERT cũng mô tả hoạt động quét tự động do AI điều khiển trong cùng tuần đó, nhưng lại gắn nó với một sản phẩm khác trong cùng lô CISA, chứ không phải Langflow. Đây không phải là bằng chứng về bản ghi này và không được sử dụng ở đây theo cách đó.

Điều gì đã thay đổi sau khi niêm yết?

Biện pháp khắc phục của nhà cung cấp chỉ là tăng số phiên bản, không có gì khác. Bảng sản phẩm bị ảnh hưởng của IBM liệt kê Langflow OSS 1.0.0 đến 1.10.0, nêu 1.10.1 là bản vá, và ghi "None" vào trường biện pháp tạm thời — trong cả ba bản tin. Bản tin CVE-2026-8481 mô tả thay đổi: trình xác thực đã ngừng thực thi và chuyển sang biên dịch. Bản tin CVE-2026-9103, bao trùm phần đăng nhập tự động, không trình bày bản vá của nó chi tiết như vậy, và không có tài liệu IBM nào được xem xét ở đây ghi ngày phát hành 1.10.1.

Hướng dẫn của tất cả các bên còn lại đều đi xa hơn so với khuyến nghị của nhà cung cấp. Cloud Security Alliance khuyến nghị nâng cấp và sau đó xác minh khi chạy rằng điểm cuối auto-login không còn cấp token cho những người gọi chưa được xác thực, thay vì tin vào chuỗi phiên bản — lý do họ nêu là các bản vá Langflow trước đây đã được phát hành với những bản sửa chữa chưa đầy đủ. Tổ chức này cũng khuyến nghị đặt rõ ràng thiết lập môi trường LANGFLOW_AUTO_LOGIN thành false, để nền tảng yêu cầu thông tin đăng nhập thực thay vì tự tạo ra chúng, và coi bất kỳ phiên bản triển khai nào đã hướng ra internet kể từ đầu tháng 7 là đã bị xâm phạm, chờ xem xét nhật ký, đồng thời xoay vòng thông tin xác thực cho mọi thứ mà phiên bản đó có thể truy cập: khóa của nhà cung cấp mô hình, thông tin đăng nhập cơ sở dữ liệu và khóa dịch vụ đám mây. ThaiCERT bổ sung phần mạng — không có giao diện quản trị trên internet công cộng, chỉ VPN hoặc danh sách cho phép. Cả hai đều là khuyến nghị của các nhà nghiên cứu. IBM không công bố khuyến nghị nào.

Một dòng ghi công đã được ghi vào hồ sơ. Lời ghi nhận của IBM gán báo cáo cho Harish Kolla, tên người dùng GitHub là Har1sh-k. Cloud Security Alliance, trong ghi chú ngày 18 tháng 8 của mình, xếp CVE-2026-9198 là lỗ hổng Langflow thứ tư riêng biệt thuộc dạng chưa xác thực hoặc bỏ qua phân quyền lọt vào danh mục của CISA trong khoảng năm tháng, nêu tên ba mã định danh trước đó, và cách diễn giải của họ là mô hình này phản ánh việc khắc phục từng phần lặp đi lặp lại đối với một mô hình xác thực và thực thi mã, chứ không phải những khiếm khuyết không liên quan. Cách đặt vấn đề đó là đánh giá của Cloud Security Alliance, được đưa ra trong một ghi chú nghiên cứu; đó không phải là phát hiện của một kiểm toán viên độc lập, và không có nguồn nào được xem xét ở đây ghi nhận phản hồi công khai nào từ những người bảo trì về vấn đề này.

Danh mục KEV giải quyết và không giải quyết được những gì

Danh mục của CISA là một khẳng định về việc khai thác đã được quan sát, không phải báo cáo sự cố, và mục này giữ đúng hình thức đó. Nó nói rằng lỗ hổng đã bị khai thác; nó không nói nhắm vào ai, do ai, hoặc với tần suất ra sao. Việc sử dụng ransomware được ghi nhận là Unknown. Không có số liệu định lượng nào. Điều mà danh mục này thực sự giải quyết là câu hỏi duy nhất mà điểm mức độ nghiêm trọng không thể trả lời: liệu lỗ hổng đã chuyển từ một bản chứng minh khái niệm hoạt động được sang sử dụng thực tế hay chưa. Đối với các tổ chức nằm ngoài phạm vi áp dụng của BOD 26-04 — tức phần lớn thế giới — thời hạn ngày 7 tháng 8 không kèm theo nghĩa vụ nào, và sự thật đằng sau nó vẫn có cùng sức nặng như khi gắn với một nghĩa vụ.

Cloud Security Alliance đưa ra kết luận vận hành từ chính mục nhập đó: rằng việc nằm trong danh sách KEV là một tín hiệu đáng tin cậy cho thấy hoạt động khai thác đã vượt qua giai đoạn chứng minh khái niệm, và rằng đối với lỗ hổng này, tín hiệu đó xuất hiện khoảng một tháng sau những nỗ lực được ghi nhận đầu tiên. Theo cách diễn giải đó, bất kỳ ai chờ đến khi có danh mục trước khi phân loại ưu tiên thì đã là đang ứng phó với một sự cố chứ không phải đang ngăn chặn sự cố. Việc điều đó có mô tả đúng một triển khai cụ thể hay không là câu hỏi dành cho nhật ký của triển khai đó — cặp điểm cuối cần tìm là cặp mà IBM đã ghi lại, và hồ sơ không nêu tên một nạn nhân nào để đối chiếu câu trả lời.