De Langflow RCE-lek (CVE-2026-105740) staat weer hoog op de radar. Volgens een melding van Previdian wordt de kwetsbaarheid actief benaderd: in honeypot-gegevens zijn 1.423 pogingen geregistreerd om code-uitvoering op de server af te dwingen. Het gaat om een fout die specifiek is gekoppeld aan een manier waarop Langflow externe “MCP server”-configuraties verwerkt.
Voor organisaties die Langflow gebruiken om AI-toepassingen en agentic workflows te bouwen, is dit extra relevant: de aanval is niet “volledig anoniem”, maar vereist wel authenticatie. Daardoor kunnen kwaadwillenden met een legitieme account-rol extra snel richting systeemcompromittering werken.
Wat is de Langflow RCE-lek precies?
Langflow is een open-source platform waarmee ontwikkelaars AI-applicaties kunnen opbouwen met behulp van workflows. De kwetsbaarheid die nu wordt uitgelicht, treft versies vóór 1.9.0. De ernst wordt aangegeven met een CVSS-score van 9,9, wat duidt op een zeer ingrijpende impact.
De kern van het probleem: een gebruiker kan via de configuratie van een MCP server een commando laten uitvoeren op de machine waarop Langflow draait. Daarbij ontbreekt effectieve controle op wat er als commando wordt aangeleverd.
Volgens de advisory kan “een geauthenticeerde Langflow-gebruiker” Remote Code Execution (RCE) op de server realiseren door een MCP server toe te voegen met een specifieke instelling voor transport (namelijk stdio). Het aangeleverde commando gaat vervolgens zonder de juiste beperkingen richting shell-uitvoering.
Hoe werkt de aanvalstactiek (in grote lijnen)?
Wat de zaak concreet maakt, is de volgorde van acties die in de waarnemingen terugkomt. De aanvaller kan starten met een gewone gebruiker (niet per se admin) en vervolgens een schadelijke MCP server-configuratie toevoegen.
In een scenario dat in de bronbeschrijving wordt geschetst, verloopt het zo:
- De aanvaller logt in als een niet-admin gebruiker.
- Via een HTTP POST-aanroep naar de endpoint /api/v2/mcp/servers/{server_name} wordt een manipulatie meegestuurd in het veld command.
- Langflow accepteert en bewaart het aangeleverde “command” zonder beoordeling op veiligheid.
- De aanvaller triggert de uitvoering door een GET-request naar /api/v2/mcp/servers?action_count=true te sturen.
- Daarna volgt de daadwerkelijke code-uitvoering.
Een belangrijk detail is dat de command-executie niet “later” hoeft te gebeuren: de bron geeft aan dat het commando direct kan draaien wanneer de lijst met MCP servers wordt opgehaald.
Waarom is de impact zo groot?
Als de exploit lukt, kan de aanvaller arbitraire OS-commands uitvoeren met de rechten van het Langflow-proces. In de beschrijving wordt ook genoemd dat dit kan leiden tot een volledige servercompromittering.
Daar blijft het niet bij. De mogelijkheid om commando’s en omgevingsvariabelen te injecteren maakt het eenvoudiger om aanvullende misbruikstappen te plannen, zoals:
- Environment variable injection, bijvoorbeeld met variabelen die invloed hebben op hoe binaries of library loading gedrag krijgt (zoals varianten van LD_PRELOAD of een PATH-overschrijving).
- Shell-achtige probes waarbij eerst verificatie-commando’s worden uitgevoerd (denk aan eenvoudige checks zoals id en whoami).
- Lateral movement en het voorbereiden van vervolgacties binnen het netwerk.
- Persistente backdoor-kansen: omdat de MCP serverconfiguratie wordt opgeslagen, kan de uitvoering opnieuw plaatsvinden telkens wanneer de serverlijst wordt geladen.
Een extra reden tot zorg is hoe de aanvankelijke “payload” zich gedraagt in het beheerproces: MCP serverconfiguraties worden volgens Langflow opgeslagen in projectinstellingen en zijn niet zichtbaar in een normale flow review. Daardoor kan het lastig zijn om de manipulatie in een routinecontrole op te merken.
Wat zagen onderzoekers in honeypot-gegevens?
Previdian rapporteert dat er sinds 19 september 2026 1.423 exploitpogingen zijn geregistreerd door honeypot-sensoren. Deze activiteit kwam van 27 unieke IP-adressen, verspreid over verschillende landen, waaronder onder meer België, China, Duitsland, Nigeria, Rusland, Singapore, Zuid-Korea en de Verenigde Staten.
Op 10 oktober 2026 werd een duidelijke toename waargenomen: vanaf 11 oktober waren er in totaal 333 pogingen geregistreerd. Op het moment van schrijven (15 oktober 2026) waren 66 pogingen gezien.
Een deel van de activiteit is gekoppeld aan het IP-adres 192.255.229[.]92. Dat adres zou zich niet alleen op Langflow richten, maar ook betrokken zijn bij brute-force-achtige pogingen en het misbruiken van andere kwetsbaarheden in vergelijkbare omgevingen (waaronder Flowise en meerdere Langflow-gerelateerde CVE’s uit de bronbeschrijving).
Welke payloads werden geprobeerd?
De aanvallen die werden vastgelegd, laten zien dat kwaadwillenden zowel verkenning als data-extractie proberen. Voorbeelden van pogingen die in de beschrijving worden genoemd:
- Uitlezen van environment variables en gevoelige Langflow-configuraties, waaronder het proberen van waarden zoals LANGFLOW_SECRET_KEY en een SUPERUSER_PASSWORD, waarna de data zou worden exfiltrated.
- Docker-achtige commands om toegang te krijgen tot het host-bestandssysteem, bijvoorbeeld door te proberen /etc/passwd uit te lezen.
- Command execution probes met eenvoudige commando’s om te verifiëren of de uitvoering werkt.
Met andere woorden: eerst wordt het “werkingsniveau” van de kwetsbaarheid vastgesteld, daarna volgen pogingen om privileges, geheimen en systeeminformatie te verzamelen.
Authenticatie: waarom het misbruik toch lukt
Omdat de kwetsbaarheid geauthenticeerd is, moesten aanvallers een manier vinden om in te loggen. In de waarnemingen die Previdian deelde, zagen onderzoekers een patroon waarin aanvallers eerst de Langflow-versie probeerden, daarna een auto-login endpoint benaderden (in de honeypot gaf dat 403 omdat auto-login was uitgeschakeld), en vervolgens succesvol authenTiceerden met een “common username and password”.
Daarna werd een bearer token gebruikt om de endpoint te benaderen waarmee de MCP serverconfiguratie kan worden beïnvloed.
Dit onderstreept een breder punt: zelfs als een kwetsbaarheid niet volledig anoniem misbruikt kan worden, kan het toch effectief zijn wanneer wachtwoorden zwak zijn of wanneer systemen te makkelijk bereikbaar zijn.
Hoe bescherm je jouw Langflow omgeving?
De aanbevelingen in de bronbeschrijving zijn concreet en gericht op snelle risicoreductie. Dit is wat organisaties het beste kunnen doen rondom de Langflow RCE-lek (CVE-2026-105740):
- Upgrade naar een gepatchte versie (de bron noemt versies vóór 1.9.0 als kwetsbaar).
- Schakel auto-login uit door LANGFLOW_AUTO_LOGIN=false in te stellen, zodat aanvallers niet kunnen profiteren van automatisch geactiveerde toegang.
- Gebruik sterke en unieke wachtwoorden voor Langflow-account(s). Voorkom hergebruik en maak brute-force duur.
- Review authenticatie- en API-logbestanden, met extra aandacht voor verzoeken richting /api/v2/mcp/servers/ en gerelateerde endpoints.
- Beperk blootstelling: zet Langflow niet zomaar open richting netwerken die je niet vertrouwt.
- Geef alleen toegang aan vertrouwde gebruikers, zodat een gecompromitteerd account minder schade kan aanrichten.
Extra aandacht: MCP en eerdere varianten
In dezelfde context geeft de bron ook aan dat Langflow eerder al een ander kritisch issue heeft aangepakt (CVE-2026-105697) dat eveneens kan leiden tot command injection via MCP stdio. Dat betekent dat beheerders verstandig doen om niet alleen op één CVE te focussen, maar het MCP- en serverconfiguratieproces in de hele keten te beoordelen.
Door te zorgen voor een patchstrategie, strengere toegang en logging/monitoring, verklein je de kans dat een misbruikpad opnieuw werkt—ook als aanvallers snel varianten proberen.
Conclusie
De Langflow RCE-lek (CVE-2026-105740) laat zien hoe snel geauthenticeerde kwetsbaarheden in AI-tools kunnen escaleren. In honeypot-gegevens werden 1.423 exploitpogingen gezien, met payloads die variëren van het controleren van command execution tot het proberen van het uitlezen van secrets en systeeminformatie.
Wil je dit risico beperken? Upgrade naar een gepatchte versie, schakel auto-login uit, bescherm wachtwoorden, en controleer vooral het verkeer richting /api/v2/mcp/servers/. Daarmee haal je de belangrijkste voorwaarden weg die aanvallers in deze gevallen nodig lijken te hebben.
Wil je bredere context over misbruik in AI-achtige flows en platformkwetsbaarheden? Lees dan ook hoe aanvallers accounts en secrets misbruiken bij CI/CD en waarom webshells en command execution vaak samen opduiken.
Bron: https://thehackernews.com/2026/10/langflows-critical-authenticated-rce.html
1 reactie