Am 30. Juni 2026 wurde eine neue Schwachstelle in Langflow, dem beliebten Open-Source-Werkzeug zum Bau von KI-Agenten und Workflows, als CVE-2026-10134 mit dem maximalen CVSS-Wert von 10.0 veröffentlicht. Ein nicht authentifizierter Angreifer kann eigenen Code auf dem Server ausführen und, in den Worten des NVD-Eintrags, "jedes Geheimnis auslesen, das dem Langflow-Prozess zur Verfügung steht" sowie "jeden Flow, jede Konversation, Nachricht, jeden Datei-Upload und jede gespeicherte Komponente" in dessen Datenbank "lesen und verändern". Wenn Sie Langflow irgendwo betreiben, wo es aus dem Internet erreichbar ist, behandeln Sie dies als Jetzt-patchen-Ereignis: Steigen Sie über den betroffenen Bereich 1.0.0–1.9.3 hinaus auf die aktuelle Version um und rotieren Sie jede Anmeldeinformation, die der Server sehen konnte.
Was CVE-2026-10134 einen genaueren Blick wert macht, ist nicht nur die glatte 10 als Schweregrad. Es ist der dritte kritische Remote-Code-Execution-Fehler in Langflow in diesem Jahr, alle in derselben Designentscheidung verwurzelt, und er trifft genau in dem Moment ein, in dem Tausende von Teams KI-Agenten-Baukästen in die Produktion drängen, ohne sie wie die zum Internet hin exponierten Server zu behandeln, die sie sind.
Was ist CVE-2026-10134?
CVE-2026-10134 ist eine nicht authentifizierte serverseitige Remote-Code-Execution-Schwachstelle (RCE) in IBM Langflow OSS, die jede Version von 1.0.0 bis 1.9.3 betrifft. Laut IBMs Security Bulletin steckt die Schwachstelle in der PythonCodeStructuredTool-Komponente, die ein Template-Feld zur Build-Zeit des Flows direkt an Pythons exec() weiterreicht. Der Tool-Code ist durch den Angreifer kontrollierbar, sodass alles, was ein Besucher liefert, vom Serverprozess ausgeführt wird. Hier gibt es keine Tricksereien mit Speicherfehlern und keine Exploit-Kette zusammenzubauen: Es ist Code-Injection per Design, bewertet mit CVSS 10.0 und dem Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — über das Netzwerk erreichbar, geringe Komplexität, keine Privilegien, keine Benutzerinteraktion und eine Bereichsänderung, die es der Kompromittierung erlaubt, sich über die Anwendung selbst hinaus auszubreiten. Im Klartext: Eine einzige HTTP-Anfrage an den falschen Endpunkt übergibt die Maschine.
Die "Public-Flow"-Falle, die die Login-Barriere beseitigt
Langflow erlaubt es einem Benutzer, einen Flow als öffentlich zu markieren, sodass andere ihn ohne Konto ausführen können. Genau diese Bequemlichkeit macht aus einem authentifizierten Fehler einen nicht authentifizierten. Normalerweise bräuchte ein Angreifer ein gültiges Session-Token, um an /api/v1/build/{flow_id}/flow einen POST zu senden und den verwundbaren Code auszulösen. Doch sobald irgendein legitimer Benutzer einen Flow mit einem PATCH, der {"access_type": "PUBLIC"} setzt, auf öffentlich umschaltet, akzeptiert ein zweiter Endpunkt — /api/v1/build_public_tmp/{flow_id}/flow — Build-Anfragen ganz ohne Authorization-Header. Von diesem Punkt an kann jeder anonyme Besucher, der die Instanz erreicht, das eingebettete Python ausführen. Ein Angreifer kann außerdem bösartigen Code in einem öffentlichen Flow platzieren, sodass er bei jedem routinemäßigen Build erneut ausgeführt wird, was ihm Persistenz statt eines einmaligen Treffers verschafft. Die Lehre für alle, die selbst hosten: Ein einziger Klick auf "dies teilbar machen" kann still und leise die Haustür weit öffnen.
Warum das bei Langflow immer wieder passiert
CVE-2026-10134 ist kein isolierter Ausrutscher. Es ist der jüngste Eintrag in einem Muster, das sich durch das ganze Jahr durch Langflow zieht:
| CVE | Offengelegt | Schweregrad | Grundursache |
|---|---|---|---|
| CVE-2026-33017 | März 2026 | CVSS 9.8 (v3.1), nicht authentifizierte RCE | Unbereinigtes Python im öffentlichen Flow-Build-Endpunkt |
| CVE-2026-5027 | Juni 2026 | CVSS 8.8, nicht authentifizierte RCE | Path Traversal in der Datei-Handling-API |
| CVE-2026-10134 | Juni 2026 | CVSS 10.0, nicht authentifizierte RCE | exec()-Senke in PythonCodeStructuredTool |
Das wiederkehrende Thema ist eine Plattform, deren ganzer Zweck darin besteht, von Benutzern verfassten Code auszuführen, die diese Fähigkeit über das Netzwerk offenlegt, ohne eine harte Sandbox darum herum. Als CVE-2026-33017 im März offengelegt wurde, bauten Angreifer aus dem Text des Advisories einen funktionierenden Exploit und griffen Instanzen innerhalb von 20 Stunden an, noch bevor irgendein öffentlicher Proof-of-Concept existierte. Im Juni markierte die Cloud Security Alliance CVE-2026-5027 als bereits aktiv ausgenutzt. Ein Tool mit mehr als 145.000 GitHub-Sternen und einem Design, das beliebiges Python ausführt, ist genau die Art von Ziel, das schnell zur Waffe gemacht wird — gehen Sie also davon aus, dass CVE-2026-10134 derselben Kurve folgt, auch dort, wo Berichte aus der freien Wildbahn noch aufholen.
Was ein Angreifer tatsächlich erbeutet
Der erschreckende Teil einer RCE, die Geheimnisse auslesen kann, ist der Radius der Detonation über die Anwendung hinaus. Langflow-Prozesse halten typischerweise die API-Schlüssel für die LLM-Anbieter, Vektordatenbanken und Drittanbieterdienste, welche die Agenten aufrufen, dazu Datenbank-Verbindungszeichenfolgen und jede Anmeldeinformation, die in Umgebungsvariablen oder einer .env-Datei liegt. Sobald Code als der Langflow-Prozess läuft, ist all das lesbar. Frühere Langflow-Kampagnen taten genau das: SentinelOnes Bericht zu CVE-2026-10134 und frühere Langflow-Vorfälle beschreiben das Absammeln von Cloud-Anbieter-Anmeldeinformationen, Datenbankzeichenfolgen und KI-Dienst-API-Schlüsseln und den anschließenden Schwenk zu internen Diensten und Cloud-Metadaten-Endpunkten. Ein gestohlener OpenAI- oder Anthropic-Schlüssel bedeutet eine ausufernde Rechnung; ein gestohlener Cloud-Schlüssel kann den Rest Ihres Kontos bedeuten. Die RCE ist die Tür, aber die Anmeldeinformationen dahinter sind die eigentliche Beute — weshalb Patchen allein nicht genügt.
Wie man es behebt
Behandeln Sie CVE-2026-10134 als zweiteilige Aufgabe: die Lücke schließen und dann davon ausgehen, dass die Schlüssel bereits abgeflossen sind.
- Jetzt aktualisieren. Jede Version bis einschließlich 1.9.3 ist verwundbar, wechseln Sie also auf die aktuelle Langflow-Version. IONIXs Threat-Center-Notiz zu CVE-2026-10134 und IBMs Bulletin nennen beide das Aktualisieren als primäre Abhilfe.
- Alles rotieren, was der Server lesen konnte. LLM- und Cloud-API-Schlüssel, Datenbankpasswörter, SSH-Schlüssel und jedes Geheimnis in der Umgebung oder in
.envsollten auf jeder Instanz rotiert werden, die aus dem Internet erreichbar war — gepatcht oder nicht. - Langflow aus dem offenen Internet nehmen. Stellen Sie es hinter ein VPN oder einen authentifizierenden Reverse-Proxy. Ein KI-Flow-Baukasten hat nichts direkt exponiert zu suchen, und unsere eigenen WaseerHost-Deployments halten diese Klasse interner Tools standardmäßig in einem privaten Netzwerk.
- Ihre öffentlichen Flows auditieren. Überprüfen Sie alles, was mit
access_type: PUBLICmarkiert ist, insbesondere Flows, die PythonCodeStructuredTool verwenden, und machen Sie "öffentlich" zu einer bewussten, geprüften Entscheidung statt eines versehentlichen Umschalters. - Auf die Nachwirkungen achten. Prüfen Sie Logs auf unerwartete Aufrufe der öffentlichen Build-Endpunkte und auf ausgehende Verbindungen zu unbekannten Hosts, was das übliche Zeichen für Anmeldeinformations-Exfiltration oder einen abgelegten Miner ist.
Das größere Bild für KI-Infrastruktur
Der rote Faden von Langflows Fehlern im Jahr 2026 ist, dass der KI-Agenten-Stack nun eine erstklassige Angriffsfläche darstellt und mit der Sicherheitshaltung eines Wochenend-Hobbyprojekts ausgerollt wird. Frameworks wie dieses existieren, um von Modellen generierten und von Benutzern verfassten Code auszuführen, was von Natur aus gefährlich ist, und dennoch werden sie häufig auf einer öffentlichen IP mit einem einzigen Admin-Konto aufgesetzt, weil eine Demo teilbar sein musste. Das ist dieselbe Geschichte vom weichen Unterbauch, die wir in KI-Agenten-Sicherheit und die Prompt-Injection-Krise behandelt haben, und sie reimt sich auf das Open-Source-Lieferketten-Risiko hinter dem Shai-Hulud-npm-Wurm. Die Lösung besteht nicht darin, diese Tools aufzugeben, sondern sie wie Produktionsinfrastruktur zu betreiben: standardmäßig privat, Anmeldeinformationen mit geringsten Rechten, Geheimnisse, die rotieren, und kein experimenteller Agenten-Server, der im offenen Web sitzt. Wenn Sie Patch-Zyklen so handhaben, wie Sie es bei einem SharePoint-Zero-Day tun würden, verdient Ihr KI-Stack dieselbe Disziplin.
Häufig gestellte Fragen
Welche Langflow-Versionen sind von CVE-2026-10134 betroffen?
Gemäß dem NVD-Eintrag ist jede IBM Langflow OSS-Version von 1.0.0 bis 1.9.3 verwundbar. Alles in diesem Bereich sollte sofort auf die aktuelle Version aktualisiert werden, und Anmeldeinformationen auf exponierten Instanzen sollten unabhängig vom Patch rotiert werden.
Ist Langflow sicher im Produktivbetrieb einsetzbar?
Langflow kann sicher betrieben werden, aber nicht nackt im öffentlichen Internet. Halten Sie es hinter einem VPN oder authentifizierenden Proxy, geben Sie ihm API-Schlüssel mit geringsten Rechten, vermeiden Sie es, Flows öffentlich zu markieren, ohne deren Inhalte geprüft zu haben, und bleiben Sie bei Patches auf dem aktuellen Stand. Die Aufgabe des Frameworks ist es, Code auszuführen, also braucht es dieselbe Isolierung, die Sie jedem Code-Ausführungsdienst geben würden.
Muss ich mir Sorgen machen, wenn meine Langflow-Instanz nur intern erreichbar ist?
Das Risiko sinkt stark, wenn die Instanz nicht aus dem Internet erreichbar ist, aber es verschwindet nicht. Ein Angreifer, der in Ihrem Netzwerk landet, oder ein intern geteilter bösartiger öffentlicher Flow kann den verwundbaren Endpunkt weiterhin erreichen. Patchen Sie auch interne Instanzen und halten Sie Geheimnisse eng gefasst, damit die Kompromittierung eines Tools nicht Ihr gesamtes Cloud-Konto preisgibt.
Was ist der Unterschied zwischen CVE-2026-10134 und dem früheren CVE-2026-33017?
Beide sind nicht authentifizierte RCE-Fehler in Langflows öffentlichem Flow-Building-Pfad. CVE-2026-33017 (März 2026, CVSS 9.8) stammte von unbereinigtem Python im öffentlichen Build-Endpunkt und wurde erst mit Langflow 1.9.0 vollständig behoben — die Versionen 1.8.1 und 1.8.2 blieben beide ausnutzbar. CVE-2026-10134 (Juni 2026, CVSS 10.0) ist eine separate exec()-Senke in der PythonCodeStructuredTool-Komponente, die Versionen bis 1.9.3 betrifft. Es sind unterschiedliche Schwachstellen mit demselben zugrunde liegenden Designproblem.
Sources
- NVD — CVE-2026-10134 Detail: offizieller CVSS-10.0-Eintrag, betroffene Versionen 1.0.0–1.9.3 und Auswirkungsbeschreibung (veröffentlicht am 30. Juni 2026).
- IBM — Security Bulletin: Unauthenticated RCE via PythonCodeStructuredTool in Public Flows: Hersteller-Advisory, das die verwundbare Komponente und die Abhilfe benennt.
- SentinelOne — CVE-2026-10134: Langflow RCE Vulnerability: Auswirkung, betroffene Versionen und Zusammenfassung der Gegenmaßnahmen.
- IONIX — CVE-2026-10134 Unauthenticated RCE in IBM Langflow: Threat-Center-Analyse und Handlungsempfehlungen.
- SecurityWeek — Critical Langflow Vulnerability Exploited Hours After Public Disclosure: der Fall des März-CVE-2026-33017, innerhalb von 20 Stunden zur Waffe gemacht.
- Cloud Security Alliance — Langflow CVE-2026-5027 Active Exploitation: die Juni-Path-Traversal-RCE, bestätigt unter aktivem Angriff.
Waqas Ahmed Waseer
Waqas Ahmed Waseer ist Entwickler und Automation-Builder mit über 8 Jahren Erfahrung im Aufbau von Produktivsystemen, die von mehr als 100.000 Menschen genutzt werden. Er baut individuelle Multi-Tenant-SaaS, KI-Automatisierung (n8n, LLM-Workflows, WhatsApp-Bots) und Hosting-Infrastruktur (WHM/cPanel, CloudLinux) — und ist der Macher von WaSphere, FlowMaticX und der Hosting-Marke WaseerHost. Über 100 Projekte für KMU, Agenturen und finanzierte Start-ups umgesetzt.
