Die US-Cybersicherheitsbehörde CISA warnt vor aktivem Missbrauch einer kritischen Schwachstelle in Langflow, einer bei Entwicklerinnen und Entwicklern beliebten Open-Source-Plattform für den Bau von KI-Agenten. Die mit CVSS 9,8 bewertete Lücke CVE-2026-9198 erlaubt Angreifern ohne Anmeldedaten vollen Fernzugriff auf Standardinstallationen. CISA setzte US-Bundesbehörden eine Frist bis zum 7. August 2026, um das bereits im Juli veröffentlichte Update einzuspielen.
Zwei verkettete Endpunkte öffnen vollen Systemzugriff
Langflow ist eine visuelle Low-Code-Plattform, mit der sich KI-Agenten und Retrieval-Workflows per Drag-and-drop zusammenklicken lassen, ganz ohne tiefe Programmierkenntnisse. IBM hatte das Werkzeug 2025 mit der Übernahme von DataStax erworben und in sein Entwicklungsstudio watsonx.ai eingebunden. Die Schwachstelle CVE-2026-9198 verkettet zwei Schwächen in der Standardkonfiguration der Software.
Der Endpunkt /api/v1/auto_login vergibt an jeden Netzwerkaufrufer ein Superuser-Token, ganz ohne Anmeldung. Mit diesem Token lässt sich anschließend der Endpunkt /api/v1/validate/code ansprechen, der eingereichten Python-Code über die Funktion exec() direkt ausführt statt ihn nur sicher zu prüfen. In Kombination verschaffen sich Angreifer so volle Kontrolle über den Langflow-Dienst, ohne ein einziges Passwort zu kennen.
Betroffen sind laut IBM die Versionen 1.0.0 bis 1.10.0. Das bereits am 17. Juli veröffentlichte Update auf Version 1.10.1 schließt die Lücke vollständig. Bereits Ende Juli kursierte zudem funktionierender Exploit-Code frei im Netz, komplett mit Anleitung zur Ausnutzung.
CISA setzt Bundesbehörden knappe Frist zum Patchen
Die US-Cybersicherheitsbehörde nahm die Lücke am 4. August 2026 offiziell in ihren Known-Exploited-Vulnerabilities-Katalog auf und bestätigte damit aktive Ausnutzung in freier Wildbahn. Zivile US-Bundesbehörden müssen die Schwachstelle bis zum 7. August 2026 schließen. Im selben Bündel markierte CISA auch eine Lücke in Apache Tomcat sowie zwei Schwachstellen in der Fernwartungssoftware N-central als aktiv angegriffen.
Es ist binnen zwei Wochen bereits die zweite kritische Fernzugriffslücke, die CISA bei Langflow bestätigt. Verwundbare No-Code-Werkzeuge für KI-Agenten häufen sich in diesem Sommer. Erst im Juni deckte ein Sicherheitsforscher bei der Open-Source-Plattform Ruflo eine vergleichbar offene Netzwerkschnittstelle auf, über die sich fremde Server-Shells ganz ohne Zugangsdaten öffnen ließen.
Wer Langflow selbst betreibt, sollte umgehend auf Version 1.10.1 oder neuer aktualisieren und den Auto-Login-Endpunkt zusätzlich per Firewall vom offenen Netz abschotten, rät IBM. Für private Unternehmen und Organisationen außerhalb der US-Bundesverwaltung besteht zwar keine rechtliche Update-Pflicht, Sicherheitsforscher empfehlen angesichts des öffentlich kursierenden Exploit-Codes aber ebenfalls sofortiges Patchen.
Entscheidend wird, ob Unternehmen mit dem rasanten Wachstum von No-Code-Plattformen für KI-Agenten auch beim Patchen mithalten – gerade weil solche Werkzeuge oft außerhalb der offiziellen IT-Aufsicht in einzelnen Fachabteilungen entstehen. Ob CISA nach dem 7. August weitere Details zum Ausmaß der Angriffe veröffentlicht, ist bislang offen.
