Wprowadzenie do problemu / definicja
Langflow, popularna platforma open source do budowy aplikacji AI i przepływów agentowych, została dotknięta krytyczną podatnością umożliwiającą zdalne wykonanie kodu po uwierzytelnieniu. Luka dotyczy mechanizmu konfiguracji serwerów MCP i pozwala zwykłemu zalogowanemu użytkownikowi uruchamiać dowolne polecenia systemowe na serwerze.
Problem jest szczególnie groźny w środowiskach, w których Langflow został wystawiony do sieci publicznej lub działa z dostępem do wrażliwych sekretów, zmiennych środowiskowych i usług wewnętrznych.
W skrócie
Podatność oznaczona jako CVE-2026-105740 otrzymała ocenę CVSS 9.9 i dotyczy wersji Langflow wcześniejszych niż 1.9.0. Mechanizm ataku polega na dodaniu złośliwej konfiguracji MCP wykorzystującej transport stdio, a następnie doprowadzeniu do wykonania polecenia na serwerze.
- Luka wymaga uwierzytelnienia, ale nie wymaga uprawnień administratora.
- Atak może zostać przeprowadzony przez zwykłe konto użytkownika.
- Odnotowano już ponad tysiąc prób wykorzystania podatności przeciwko systemom-pułapkom.
- Aktywność napastników wyraźnie wzrosła w połowie października 2026 roku.
Kontekst / historia
Langflow jest wykorzystywany przez zespoły rozwijające rozwiązania oparte na modelach językowych, agentach AI oraz złożonych integracjach z zewnętrznymi usługami. Takie platformy często operują na kluczach API, danych uwierzytelniających i połączeniach do infrastruktury backendowej, dlatego każda luka w warstwie orkiestracji może mieć bardzo szeroki zasięg.
W tym przypadku źródłem problemu jest obsługa serwerów MCP. Szczególnie niepokojący jest fakt, że podatność nie wymaga eskalacji do roli administracyjnej. Wystarczy zwykłe konto, aby wprowadzić złośliwą konfigurację i doprowadzić do wykonania kodu po stronie hosta.
Incydent wpisuje się również w rosnący trend ataków wymierzonych w platformy AI. Organizacje często wdrażają takie narzędzia szybko, eksperymentalnie i bez pełnego utwardzenia środowiska, co czyni je atrakcyjnym celem dla cyberprzestępców.
Analiza techniczna
Sednem podatności jest niewłaściwa walidacja pola command wykorzystywanego przy definiowaniu serwera MCP z transportem stdio. Aplikacja akceptuje komendę dostarczoną przez użytkownika i przekazuje ją do wykonania bez skutecznych ograniczeń, listy dozwolonych binariów oraz odpowiedniej izolacji wykonania.
Przykładowy scenariusz wykorzystania luki obejmuje zalogowanie się na zwykłe konto, wysłanie spreparowanego żądania do endpointu odpowiedzialnego za konfigurację MCP, zapisanie złośliwego polecenia w polu command, a następnie wywołanie operacji, która powoduje wykonanie zapisanej komendy z uprawnieniami procesu Langflow.
Dodatkowym zagrożeniem jest możliwość manipulacji polem env, co otwiera drogę do wstrzykiwania zmiennych środowiskowych. W praktyce może to pozwolić na wpływanie na sposób uruchamiania procesów, obchodzenie części zabezpieczeń operacyjnych lub ułatwienie kradzieży sekretów.
Zarejestrowane próby eksploatacji obejmowały między innymi komendy rozpoznawcze, próby odczytu plików systemowych, ekstrakcję zmiennych środowiskowych i działania ukierunkowane na środowiska kontenerowe. Taki wzorzec wskazuje, że napastnicy traktują podatność zarówno jako punkt wejścia, jak i narzędzie do dalszej eksploracji infrastruktury.
Konsekwencje / ryzyko
Ryzyko należy ocenić jako bardzo wysokie. Choć luka wymaga uwierzytelnienia, jej praktyczne wykorzystanie pozostaje stosunkowo proste w środowiskach ze słabymi hasłami, kontami testowymi lub niedostatecznie chronionym dostępem zdalnym.
- Pełne przejęcie serwera aplikacyjnego.
- Kradzież tokenów, haseł i innych sekretów zapisanych w zmiennych środowiskowych.
- Instalacja trwałego mechanizmu dostępu.
- Ruch boczny do innych systemów organizacji.
- Wykorzystanie hosta do dalszych ataków wewnętrznych.
Szczególnie niebezpieczne jest to, że złośliwa konfiguracja może pozostać w systemie i uruchamiać polecenia przy kolejnych operacjach związanych z odczytem listy serwerów MCP. Zwiększa to trwałość kompromitacji i utrudnia wykrycie incydentu podczas rutynowego przeglądu konfiguracji.
W organizacjach wykorzystujących Langflow jako warstwę integracyjną dla narzędzi AI skutki mogą objąć nie tylko pojedynczy serwer, ale także klucze API do modeli, bazy danych wektorowych, systemy CI/CD, repozytoria kodu i inne elementy zaplecza operacyjnego.
Rekomendacje
Najważniejszym działaniem jest natychmiastowa aktualizacja Langflow do wersji 1.9.0 lub nowszej, zawierającej poprawkę bezpieczeństwa. Jeżeli aktualizacja nie może zostać wdrożona od razu, organizacje powinny zastosować działania ograniczające ryzyko.
- Wymusić silne i unikalne hasła dla wszystkich kont.
- Ograniczyć dostęp do interfejsu Langflow wyłącznie do zaufanych sieci i użytkowników.
- Nie wystawiać instancji bezpośrednio do internetu.
- Przeanalizować logi uwierzytelnienia oraz żądania do endpointów związanych z konfiguracją MCP.
- Skontrolować istniejące konfiguracje MCP pod kątem nietypowych poleceń i zmiennych środowiskowych.
- Zrotować sekrety aplikacyjne, jeśli istnieje podejrzenie ich ujawnienia.
- Uruchamiać proces Langflow z minimalnymi niezbędnymi uprawnieniami.
- Wdrożyć segmentację sieci oraz izolację kontenerów.
Z perspektywy zespołów SOC i IR warto przygotować reguły detekcyjne obejmujące nietypowe wywołania powłoki przez proces Langflow, próby dostępu do wrażliwych plików systemowych, eksfiltrację zmiennych środowiskowych oraz nagłe tworzenie lub modyfikowanie konfiguracji MCP przez konta nieuprzywilejowane.
Podsumowanie
CVE-2026-105740 jest przykładem krytycznej luki w rozwijającym się ekosystemie narzędzi AI, gdzie mechanizmy konfiguracyjne mogą stać się bezpośrednią powierzchnią ataku. W przypadku Langflow zwykły zalogowany użytkownik może doprowadzić do wykonania dowolnych komend systemowych, a obserwacje telemetryczne wskazują, że podatność jest już aktywnie wykorzystywana.
Dla organizacji oznacza to konieczność szybkiego patchowania, przeglądu konfiguracji, utwardzenia kontroli dostępu oraz monitorowania oznak kompromitacji. Opóźnienie aktualizacji może skutkować pełnym przejęciem serwera i ekspozycją krytycznych danych uwierzytelniających.