Kurzfassung

IBM Langflow OSS enthält mit CVE-2026-85025 eine kritische Schwachstelle, über die Angreifer ohne Anmeldung Code ausführen können. Betroffen sind nach NVD die Versionen 1.0.0 bis 1.11.5. Das Risiko entsteht über öffentlich freigegebene MCP-Projekt-Endpunkte, wenn Sicherheitsgrenzen für öffentliche Flows und Sitzungen nicht sauber durchgesetzt werden.

Was ist passiert?

Für IBM Langflow OSS wurde eine Schwachstelle mit der Kennung CVE-2026-85025 veröffentlicht. Nach der Beschreibung der NVD kann ein nicht authentifizierter Angreifer die Lücke missbrauchen, um beliebigen Code auszuführen sowie auf Chat-Sitzungen zuzugreifen oder diese zu verändern.

Der Angriffsweg setzt an öffentlich geteilten MCP-Projekt-Endpunkten an. Das macht die Lücke vor allem dort relevant, wo Langflow nicht nur intern getestet wird, sondern über das Netzwerk oder sogar aus dem Internet erreichbar ist und öffentliche Projektfreigaben aktiv genutzt werden.

Technische Details

Die NVD beschreibt die Ursache als unzureichende Durchsetzung von Sicherheitsbeschränkungen für öffentliche Flows sowie mangelhafte Isolierung von Sitzungen. Daraus ergibt sich ein gefährlicher Mix: Einerseits lassen sich eigentlich geschützte Funktionen über öffentliche Endpunkte erreichen, andererseits können Sitzungsdaten offenbar nicht strikt voneinander getrennt werden.

Im schlimmsten Fall führt das zu Remotecodeausführung ohne Login. Zusätzlich steht im Raum, dass Chat-Sitzungen eingesehen oder manipuliert werden können. Das ist besonders heikel, wenn über Langflow sensible Prompts, interne Wissensbestände, API-Schlüssel oder Ergebnisse aus KI-gestützten Workflows verarbeitet werden.

Einen CVSS-Wert oder CVSS-Vektor nennt die NVD in den vorliegenden Informationen nicht. Auch ob bereits ein Sicherheitsupdate bereitsteht, wird hier nicht mitgeteilt.

Wer ist betroffen?

Betroffen ist IBM Langflow OSS in den Versionen 1.0.0 bis 1.11.5. Für Unternehmen im DACH-Raum ist die Schwachstelle vor allem dann relevant, wenn Langflow in Entwicklungs-, KI-, Automatisierungs- oder Proof-of-Concept-Umgebungen eingesetzt wird und öffentlich erreichbare MCP-Projekt-Endpunkte vorhanden sind.

Besonders kritisch ist die Lage in diesen Fällen:

  • Langflow ist direkt aus dem Internet erreichbar.
  • Öffentliche Freigaben für Projekte oder Flows wurden aktiviert.
  • Über die Instanz laufen produktionsnahe Daten, interne Dokumente oder Zugangsdaten zu Drittsystemen.
  • Mehrere Nutzer oder Teams arbeiten auf derselben Instanz.

Weniger dringlich ist das Thema für rein lokale Testsysteme ohne Netzfreigabe. Ganz ignorieren sollten Administratoren die Meldung trotzdem nicht, weil gerade Labor- und Entwicklerumgebungen oft schlechter abgeschottet sind als produktive Plattformen.

Empfohlene Maßnahmen

Administratoren sollten zuerst prüfen, ob Langflow OSS in Version 1.0.0 bis 1.11.5 im Einsatz ist. Danach zählt vor allem die tatsächliche Erreichbarkeit der betroffenen Endpunkte.

  1. Exponierte Instanzen identifizieren: Erfassen Sie alle Langflow-Installationen, inklusive Test-, PoC- und Entwicklerumgebungen.
  2. Öffentliche MCP-Endpunkte prüfen: Stellen Sie fest, ob Projekte oder Flows öffentlich geteilt wurden und von außen erreichbar sind.
  3. Zugriff sofort einschränken: Nehmen Sie betroffene Instanzen wenn möglich aus dem Internet, setzen Sie vorgeschaltete Zugriffskontrollen ein oder beschränken Sie den Zugriff per VPN, Reverse Proxy oder Netzsegmentierung.
  4. Öffentliche Freigaben deaktivieren: Schalten Sie öffentlich erreichbare Projekt- und Flow-Endpunkte ab, bis Klarheit über ein Update oder wirksame Gegenmaßnahmen besteht.
  5. Geheimnisse rotieren: Wenn in Langflow API-Schlüssel, Tokens oder andere Zugangsdaten hinterlegt waren, sollten diese vorsorglich erneuert werden.
  6. Protokolle auswerten: Prüfen Sie Webserver-, Proxy- und Anwendungsprotokolle auf verdächtige Zugriffe auf öffentliche MCP-Endpunkte und auf unerwartete Änderungen an Chat-Sitzungen.
  7. Update-Stand beobachten: Verfolgen Sie die weitere Kommunikation von IBM und planen Sie ein Update ein, sobald eine fehlerbereinigte Version verfügbar ist.

Wer Langflow in produktionsnahen KI-Workflows nutzt, sollte die Angelegenheit mit hoher Priorität behandeln. Eine nicht authentifizierte Codeausführung ist in der Praxis fast immer ein Fall für sofortige Eindämmung.

Einschätzung von CyberSecurity-News.de

Die Schwachstelle ist für Organisationen mit öffentlich erreichbaren Langflow-Instanzen klar kritisch. Brisant ist weniger die Existenz einer weiteren RCE an sich, sondern die Kombination aus fehlender Anmeldung, möglichem Sitzungszugriff und einem Angriffsweg über bewusst freigegebene Endpunkte. Genau solche Freigaben werden in Teams schnell eingerichtet und später vergessen.

Die Informationslage ist derzeit noch unvollständig. NVD nennt die betroffenen Versionen und den grundsätzlichen Fehler, liefert hier aber weder CVSS-Wert noch technische Details zur Ausnutzungstiefe. Ob ein Patch bereitsteht, hat IBM in den vorliegenden Informationen nicht mitgeteilt. Für Administratoren heißt das: nicht auf Detailperfektion warten, sondern Exponierung sofort reduzieren.

Für die breite Masse klassischer Windows- oder Office-Admins ist das kein Alltagsproblem. Für Teams, die KI-Workflows mit Langflow auf Servern oder in Container-Umgebungen bereitstellen, ist die Meldung dagegen unmittelbar relevant.

Fazit

Wer IBM Langflow OSS in den Versionen 1.0.0 bis 1.11.5 betreibt, sollte öffentliche MCP-Endpunkte umgehend überprüfen und wenn möglich abschalten oder abschirmen. Bis ein bestätigter Fix vorliegt, ist die sicherste Maßnahme, betroffene Instanzen nicht öffentlich erreichbar zu betreiben und hinterlegte Zugangsdaten vorsorglich zu erneuern.

Quellenangabe

NVD zu CVE-2026-85025.