Kritische Code-Injection in IBM Langflow und IBM Engineering AI Hub: Zwei Schwachstellen mit RCE-Risiko

Kurzfassung

Für IBM-Umgebungen sind derzeit zwei kritische Schwachstellen relevant: CVE-2026-9135 in IBM Langflow OSS sowie CVE-2026-15091 in IBM Engineering AI Hub. Beide Lücken können unter bestimmten Bedingungen dazu führen, dass Angreifer eigenen Code oder Skripte auf dem Zielsystem ausführen. Aus Sicht von Unternehmen ist das besonders brisant, weil daraus ein vollständiger Kompromittierungsweg für Anwendungen, Workflows und potenziell verbundene Daten entstehen kann.

Die praktische Relevanz ist hoch, wenn die betroffenen Produkte produktiv eingesetzt werden, insbesondere in Umgebungen mit vielen Nutzern, automatisierten Workflows oder sensiblen Integrationen. Für Privatpersonen ist das Risiko nach aktuellem Stand eher indirekt, da es sich um Unternehmenssoftware handelt.

Was ist passiert?

IBM Langflow OSS und IBM Engineering AI Hub weisen laut den vorliegenden Informationen jeweils eine kritische Schwachstelle auf, die remote oder durch authentifizierte Nutzung ausgenutzt werden kann. Bei CVE-2026-9135 liegt das Problem in einer unvollständigen Prüfung von Eingaben innerhalb der Policies- und ToolGuard-Logik von Langflow. Dadurch kann schädlicher Python-Code in Feldern landen, die später serverseitig verarbeitet und ausgeführt werden.

CVE-2026-15091 betrifft IBM Engineering AI Hub und beschreibt eine unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten. In der Folge kann ein entfernter Angreifer eigene Skripte einschleusen und ausführen. In beiden Fällen ist das Ergebnis potenziell eine Ausführung von fremdem Code auf dem Zielsystem.

Technische Details

Bei CVE-2026-9135 ist besonders relevant, dass die Schutzfunktion für benutzerdefinierte Komponenten nicht alle dynamisch erzeugten Inhalte korrekt validiert. Die Prüfung konzentriert sich offenbar auf einen Hauptbereich des Komponenten-Codes, übersieht aber zusätzliche dynamische Eingabefelder. Diese Felder werden in Flow-Daten gespeichert und später im Rahmen des ToolGuard-Runtimes serverseitig ausgeführt, wenn ein geschütztes Werkzeug aufgerufen wird. Dadurch können authentifizierte Nutzer mit Rechten zur Flow-Erstellung trotz aktivierter Schutzmechanismen eigenen Python-Code einschleusen.

Zusätzlich wird beschrieben, dass sich die Schwachstelle durch Manipulation zwischen Mandanten verschärfen kann, wenn ein Tool zur Aktualisierung von Flow-Komponentenfelder mit vom Angreifer kontrollierten Benutzerparametern arbeitet. Unter bestimmten Fehlkonfigurationen, etwa bei öffentlich zugänglichen Flows oder vereinfachter Anmeldung, sinkt die Hürde für einen Angriff weiter. Für CVE-2026-15091 ist die technische Ursache allgemeiner formuliert: Eingaben werden bei der Generierung von Webinhalten nicht ausreichend bereinigt, wodurch Skriptcode in die Ausgabe gelangen kann.

Wer ist betroffen?

Betroffen sind laut Quelle IBM Langflow OSS 1.0.0 bis 1.10.0 sowie Langflow-Versionen bis einschließlich 1.9.2 im genannten Commit-Kontext für CVE-2026-9135. Für CVE-2026-15091 sind die Versionen IBM Engineering AI Hub 1.0.0, 1.1.0 und 1.2.0 genannt.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn diese Produkte in Entwicklungs-, Automatisierungs- oder KI-gestützten Plattformen eingesetzt werden. Besonders gefährdet sind Umgebungen mit mehreren Nutzern, Self-Service-Workflows, Integrationen in interne Systeme oder extern erreichbaren Oberflächen. Auch wenn die Schwachstellen nicht primär auf Consumer-Produkte zielen, können Folgen wie Datenabfluss, Manipulation von Workflows oder Ausfall von Diensten erhebliche geschäftliche Schäden verursachen.

Privatpersonen sind nach aktuellem Stand nur indirekt betroffen, etwa wenn sie als Nutzer einer betroffenen Unternehmensplattform agieren oder wenn kompromittierte Systeme Daten von Endkunden verarbeiten. Ein unmittelbares Heimnetz-Risiko ist aus den vorliegenden Informationen jedoch nicht ableitbar.

Empfohlene Maßnahmen

Unternehmen sollten betroffene Installationen kurzfristig inventarisieren und prüfen, ob Langflow oder IBM Engineering AI Hub in den genannten Versionen im Einsatz sind. Priorität hat das Einspielen von Hersteller-Updates oder Workarounds, sobald diese verfügbar sind. Bis zur vollständigen Absicherung sollten exponierte Instanzen möglichst eingeschränkt, nur vertrauenswürdigen Nutzern zugänglich gemacht und durch Netzwerksegmentierung sowie starke Authentifizierung geschützt werden.

Für CVE-2026-9135 ist zusätzlich wichtig, alle Funktionen rund um Flow-Erstellung, ToolGuard und benutzerdefinierte Komponenten zu überprüfen. Unternehmen sollten Konfigurationen wie automatische Anmeldung oder offene Benutzerregistrierung vermeiden, wenn diese nicht zwingend erforderlich sind. Bei CVE-2026-15091 empfiehlt sich eine genaue Prüfung aller Weboberflächen und Eingabepfade, die dynamische Inhalte erzeugen. Ergänzend sollten Protokolle auf ungewöhnliche Skript- oder Code-Ausführung, unerwartete Änderungen an Flows und verdächtige Benutzeraktionen überprüft werden.

Allgemein gilt: Wer solche Plattformen produktiv betreibt, sollte Sicherheitsmonitoring, restriktive Berechtigungen und ein belastbares Patch-Management als Mindeststandard etablieren. Falls bereits ein Verdacht auf Ausnutzung besteht, sind betroffene Systeme zu isolieren und forensisch zu untersuchen.

Einschätzung von CyberSecurity-News.de

Aus Sicht von CyberSecurity-News.de sind beide Meldungen als hoch bis kritisch einzustufen. Der Grund ist nicht nur der offizielle Schweregrad, sondern vor allem die mögliche Folge: Aus einer scheinbar begrenzten Eingabeproblematik wird schnell eine serverseitige Codeausführung mit weitreichenden Konsequenzen. In modernen Unternehmensumgebungen sind genau solche Schwachstellen besonders gefährlich, weil sie häufig in Plattformen sitzen, die viele Datenquellen, Nutzer und Automatisierungen verbinden.

Für den DACH-Raum ist die Relevanz vor allem bei mittelständischen und großen Organisationen hoch, die KI- oder Workflow-Plattformen in interne Prozesse integriert haben. Der Praxisbezug ist klar: Angriffe auf solche Systeme können nicht nur die betroffene Anwendung kompromittieren, sondern auch nachgelagerte Systeme, Datenbestände und Geschäftsprozesse gefährden. Unternehmen sollten diese beiden CVEs daher nicht als rein theoretische Produktmeldungen behandeln, sondern als konkreten Anlass für eine zügige Prüfung ihrer Angriffsfläche.

Fazit

CVE-2026-9135 und CVE-2026-15091 zeigen, wie riskant unzureichend validierte Eingaben in KI- und Workflow-Plattformen sein können. Beide Schwachstellen können im schlimmsten Fall zur Ausführung von Code oder Skripten auf dem Zielsystem führen. Für Unternehmen bedeutet das ein potenziell hohes Risiko für Integrität, Verfügbarkeit und Vertraulichkeit ihrer Systeme.

Wer IBM Langflow oder IBM Engineering AI Hub einsetzt, sollte die eigene Versionierung sofort prüfen, Updates priorisieren und die betroffenen Funktionen eng kontrollieren. Je stärker solche Plattformen in Geschäftsprozesse eingebunden sind, desto größer ist der potenzielle Schaden im Falle einer Ausnutzung.

Quellenangabe

Weiterführende Quelle: https://nvd.nist.gov/vuln/detail/CVE-2026-9135

Zusätzlich berücksichtigt: NVD-Eintrag zu CVE-2026-15091 im bereitgestellten Quellkontext.