Langflow'daki kritik kod çalıştırma açığına 1.400'ü aşkın istismar denemesi

Yapay zekâ uygulamaları ve ajan tabanlı iş akışları geliştirmek için kullanılan açık kaynaklı Langflow platformundaki kritik bir uzaktan kod çalıştırma açığı saldırganların hedefinde. The Hacker News'in güvenlik firması Previdian'ın uyarısına dayanarak 15 Ekim'de aktardığına göre, şirketin tuzak sistemleri (honeypot) 19 Eylül 2026'dan bu yana CVE-2026-105740 açığını istismar etmeye yönelik 1.423 deneme kaydetti. CVSS puanı 9.9 olan açık geçen ay Langflow 1.9.0 sürümüyle kapatılmıştı; bu nedenle internete açık ve güncellenmemiş kurulumlar ciddi risk altında.

Neler oldu?

The Hacker News'in aktardığına göre Previdian, ABD, Çin, Almanya, Rusya, Singapur, Güney Kore ve Vietnam'ın da aralarında bulunduğu ülkelerdeki 27 farklı IP adresinden gelen denemeler tespit etti. Faaliyet 11 Ekim'den itibaren hız kazandı; o gün tek başına 333 deneme kaydedildi. Haberin yazıldığı sırada 15 Ekim'de görülen deneme sayısı 66'ydı.

Açığın istismarı oturum açmayı gerektirdiği için Previdian, saldırganların sisteme nasıl giriş yaptığını da inceledi. Rapora göre saldırganlar önce Langflow sürümünü kontrol etti, /api/v1/auto_login uç noktasını denedi, ardından yaygın bir kullanıcı adı ve parolayla giriş yaparak elde ettikleri oturum belirteciyle açıklı uç noktaya yöneldi. Previdian'ın kurucusu ve CEO'su Ryan Dewhurst, açık kimlik doğrulama gerektirdiği için saldırganların nasıl oturum açtığını araştırdıklarını söyledi.

Teknik detaylar

Langflow'un GHSA-7w94-79vh-5mr2 numaralı duyurusuna göre kimliği doğrulanmış herhangi bir kullanıcı sunucuda kod çalıştırabiliyor. Habere göre Langflow, MCP sunucu yapılandırmasındaki kullanıcıdan gelen command değerini herhangi bir doğrulama, izin listesi veya yalıtım uygulamadan kabuğa aktarıyordu; komut, MCP sunucu listesi yüklendiğinde çalışıyordu. env alanı da rastgele ortam değişkeni eklenmesine olanak tanıyordu.

The Hacker News, zararlı MCP yapılandırmalarının proje ayarlarında saklandığını ve normal akış incelemesinde görünmediğini vurguladı. Bu da yerleştirilen bir komutun, sunucu listesi her yüklendiğinde yeniden çalışan gizli ve kalıcı bir arka kapıya dönüşebileceği anlamına geliyor.

Previdian'ın gözlemlediği yükler, LANGFLOW_SECRET_KEY ve LANGFLOW_SUPERUSER_PASSWORD gibi ortam değişkenlerini 146.70.211[.]112 adresine göndermeye, Docker komutlarıyla ana makine dosyalarını okumaya ve id, whoami gibi basit keşif komutlarını çalıştırmaya çalıştı. Faaliyetin büyük bölümünden sorumlu 192.255.229[.]92 adresi, GreyNoise ve Previdian tarafından kaba kuvvet saldırıları ile diğer Langflow ve Flowise açıklarının istismarıyla ilişkilendirildi.

Rapora göre MCP stdio sunucu yapılandırması üzerinden işletim sistemi komut enjeksiyonuna yol açan ikinci bir kritik açık, CVE-2026-105697 (CVSS 9.9), da geçen ay kapatıldı.

Kimler etkileniyor?

Langflow'un 1.9.0'dan eski sürümlerini kullanan kurumlar, özellikle internetten erişilebilen ya da zayıf veya varsayılan parolalarla korunan kurulumlar risk altında. Langflow'un ana şirketi DataStax, 2025'te IBM tarafından satın alınmıştı.

Ne yapmalı?

Önerilen adımlar şöyle: Langflow 1.9.0 veya sonrasına yükseltin, LANGFLOW_AUTO_LOGIN=false ayarını yapın, güçlü ve benzersiz parolalar kullanın ve hesapları yalnızca güvenilir kullanıcılara verin. Yöneticilerin kimlik doğrulama kayıtlarını ve /api/v2/mcp/servers/ uç noktasına gelen istekleri incelemesi, kayıtlı MCP sunucu yapılandırmalarında beklenmedik komut olup olmadığını kontrol etmesi, Langflow'u güvenilmeyen ağlara doğrudan açmaması ve ele geçirilmiş olabilecek kurulumlardaki gizli anahtarları yenilemesi gerekiyor.