Угроза исходит от злоумышленников, использующих критическую уязвимость в Langflow, согласно предупреждению от Previdian.
Langflow — это платформа с открытым исходным кодом, которая позволяет разработчикам создавать приложения искусственного интеллекта (AI) и агентные рабочие процессы. В феврале 2025 года DataStax, материнская компания Langflow, была приобретена IBM.
Уязвимость, о которой идет речь, это CVE-2026-105740 (оценка CVSS: 9.9), случай аутентифицированного удаленного выполнения кода, затрагивающий версии до 1.9.0.
"Любой аутентифицированный пользователь Langflow может добиться удаленного выполнения кода (RCE) на сервере, добавив сервер MCP с транспортом 'stdio'", говорится в уведомлении, опубликованном в прошлом месяце.
"Поле команд, предоставленное пользователем, передается напрямую в bash -c "exec {command}" без какой-либо валидации, без белого списка и без песочницы. Команда выполняется немедленно, когда список серверов загружается. Кроме того, поле env позволяет произвольную инъекцию переменных окружения (например, LD_PRELOAD, переопределение PATH)."
Суть уязвимости заключается в том, что Langflow принимает команду, предоставленную пользователем, без ограничения ее на одобренные исполняемые файлы. Это, в свою очередь, может привести к выполнению команд оболочки.
В гипотетическом сценарии атаки злоумышленник может использовать уязвимость следующим образом -
Войти как обычный пользователь, не имеющий прав администратора.
Добавить вредоносный сервер MCP, отправив специально подготовленный HTTP POST запрос на "/api/v2/mcp/servers/{server_name}" с полем команды, содержащим вредоносный код (например, обратный шелл).
Сервер принимает и сохраняет "команду", предоставленную атакующим, без какой-либо валидации.
Запустить уязвимость, получив список серверов MCP через HTTP GET запрос "/api/v2/mcp/servers?action_count=true", что приведет к выполнению команды.
Добиться выполнения кода.
"Любой аутентифицированный пользователь Langflow (включая неадминистраторские учетные записи) может выполнять произвольные команды ОС на сервере с привилегиями процесса Langflow", предупредил Langflow.
Успешная эксплуатация может привести к полному компрометации сервера, инъекции переменных окружения, облегчению бокового перемещения и развертыванию постоянной задней двери, так как конфигурация вредоносного сервера MCP сохраняется и повторно выполняется каждый раз, когда загружается список серверов.
"В отличие от пользовательского кода компонентов, который виден в редакторе потоков, конфигурации серверов MCP хранятся в настройках проекта и не видны во время обычного просмотра потоков", сказал Langflow.
Данные от Previdian показывают, что с 19 сентября 2026 года было зафиксировано 1,423 попытки эксплуатации против его сенсоров-ловушек от 27 уникальных IP-адресов атакующих, расположенных в Бельгии, Китае, Германии, Гонконге, Японии, Нигерии, Филиппинах, России, Сейшельских Островах, Сингапуре, Южной Корее, Тайване, Танзании, США и Вьетнаме.
Попытки эксплуатации увеличились, начиная с 11 октября 2026 года, когда было зарегистрировано 333 попытки. На момент написания статьи 15 октября 2026 года было зафиксировано 66 попыток.
"Мы исследовали, как злоумышленники аутентифицируются, так как эта уязвимость требует аутентификации", сказал Райан Дьюхерст, основатель и генеральный директор Previdian, в интервью The Hacker News.
"В одном из наблюдаемых случаев злоумышленники проверили версию Langflow, попытались выполнить /api/v1/auto_login (что вернуло 403, так как это было отключено в нашей ловушке), а затем успешно аутентифицировались, используя распространенное имя пользователя и пароль. Они немедленно использовали полученный токен доступа для доступа к уязвимой конечной точке конфигурации сервера MCP."
Некоторые из захваченных полезных нагрузок включают -
Попытки извлечь переменные окружения и конфиденциальные конфигурации Langflow, включая LANGFLOW_SECRET_KEY и LANGFLOW_SUPERUSER_PASSWORD, и передать их на 146.70.211[.]112:18764.
Команды Docker, пытающиеся получить доступ к файловой системе хоста и прочитать содержимое "/etc/passwd."
Проверки выполнения команд с использованием id, whoami и других простых команд.
Значительная часть активности исходит от IP-адреса "192.255.229[.]92", который был замечен, пытающимся извлечь переменные окружения. Данные от GreyNoise показывают, что этот IP-адрес участвовал в общих атаках методом грубой силы, а также в эксплуатации других уязвимостей в Flowise (CVE-2026-69255) и Langflow (CVE-2026-55255, CVE-2026-9198 и CVE-2026-0768).
"Мы рекомендуем обновить Langflow до исправленной версии, отключить авто-вход, применять сильные и уникальные пароли, а также проверять журналы аутентификации и запросы к /api/v2/mcp/servers/ на предмет подозрительной активности", сказал Дьюхерст.
В прошлом месяце Langflow также устранил другую критическую уязвимость (CVE-2026-105697, оценка CVSS: 9.9), которая также могла привести к инъекции команд операционной системы через конфигурацию сервера MCP stdio.
Если немедленное исправление невозможно, рекомендуется установить LANGFLOW_AUTO_LOGIN=false, избегать прямого подключения Langflow к ненадежным сетям и предоставлять учетные записи Langflow только доверенным пользователям.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.