Платформа для создания ИИ-агентов снова оказалась под угрозой удалённого захвата. Две критические ошибки в Langflow позволяют атаковать серверы без учётной записи. IBM предупредила о проблемах 28 октября и уточнила сведения на следующий день. Уязвимы версии Langflow OSS с 1.0.0 по 1.12.8 включительно. Исправления вошли в выпуск 1.13.0.
Первая проблема, CVE-2026-93680, связана с ошибкой проверки подлинности и позволяет обходить ограничения доступа. Вторая, CVE-2026-110186, открывает путь к выполнению произвольного кода на сервере. IBM оценила каждую в 9,8 балла из 10 по шкале CVSS 3.1. Для обеих не требуются ни учётная запись, ни действия пользователя.
Один из описанных IBM сценариев затрагивает Model Context Protocol (MCP), через который Langflow предоставляет ИИ-приложениям доступ к инструментам и рабочим процессам. Проблема позволяет добраться до выполнения кода при перечислении инструментов MCP без аутентификации. Однако бюллетень не раскрывает подробную последовательность атаки и условия успешной эксплуатации.
Для ошибки обхода аутентификации уже существует модуль Metasploit. Опубликованный код проверяет доступ к MCP-интерфейсу через SSE, создаёт сеанс и получает сведения о доступных инструментах без пароля. Сам модуль не выполняет команды на сервере. Разработчик указал более узкий диапазон уязвимых версий, с 1.5.0 по 1.11.4. Модуль испытали на Langflow 1.8.4.
В том же бюллетене IBM описала ещё две ошибки. CVE-2026-110193 с оценкой 8,8 по CVSS 3.1 позволяет пользователю с ограниченными правами заставить ИИ-помощника Agentic Assistant запустить системные команды. CVE-2026-110192 получила 6,5 балла по CVSS 3.1 и связана с недостаточной защитой учётных данных. В отличие от двух критических проблем, обе требуют авторизации.
Ситуацию осложняет автоматический вход в Langflow. В версии 1.12.8 параметр LANGFLOW_AUTO_LOGIN по умолчанию включён, а при таком режиме пользователь может получить права администратора без ввода пароля. В Langflow 1.13.0 автоматический вход по умолчанию отключили. IBM не уточнила, сохраняется ли возможность эксплуатации новых критических ошибок при выключенном автоматическом входе.
Langflow уже становился целью реальных атак. В марте эксплуатацию другой ошибки зафиксировали примерно через 20 часов после раскрытия, а в сентябре злоумышленники атаковали Langflow, пытаясь похитить ключи OpenAI и AWS. По состоянию на 30 октября две новые критические ошибки отсутствовали в каталоге подтверждённо эксплуатируемых уязвимостей CISA. Сведений об атаках с применением новых ошибок пока нет.
IBM рекомендует перейти на Langflow 1.13.0 и не предлагает временного способа закрыть проблемы без обновления. Перед установкой нужно сохранить резервные копии базы данных, секретного ключа и загруженных файлов. При переходе с автоматического входа придётся заранее подготовить учётную запись для входа по паролю. Обновление доступно через pip и образ Docker с тегом 1.13.0.
