Es ist die unangenehmste Sorte Sicherheitsmeldung: Die Lücke ist nicht neu, der Angriff schon. CVE-2026-0768 in Langflow — der Baukasten, mit dem viele ihre KI-Abläufe zusammenklicken — wird seit dem Wochenende aktiv ausgenutzt. Und die Angreifer sind nicht auf Rechenleistung aus. Sie holen sich deine Schlüssel.
WAS DIE ANGREIFER MITNEHMEN
Langflow ist genau deshalb so praktisch — und so gefährlich, wenn es aufreißt: In der Instanz liegen die Zugangsdaten zu allem, was du angebunden hast. OpenAI-Schlüssel. AWS-Zugänge. Tokens für Datenbanken und interne Dienste. Wer die Lücke ausnutzt, muss sich nicht mühsam durch dein Netz arbeiten. Er liest die Schlüsselsammlung aus und meldet sich anschließend als du an — bei Diensten, die deine Kreditkarte belasten.
WIE DIE LÜCKE FUNKTIONIERT
Der Fehler steckt im Code-Validator des Editors für eigene Komponenten. Der Endpunkt zum Prüfen von Code nimmt einen vom Nutzer gelieferten Text entgegen — und führt ihn als Python aus, ohne ihn vorher sauber zu prüfen. Ergebnis: Codeausführung als root, ohne jede Anmeldung. Die Bewertung liegt bei CVSS 9,8, praktisch der Höchstwert.
Gemeldet wurde das Problem bereits im Januar über die Zero Day Initiative von Trend Micro. Der Hersteller nennt Version 1.4.2 als betroffen. Wer eine ältere oder gleich alte Installation betreibt, sollte davon ausgehen, angreifbar zu sein, bis er das Gegenteil geprüft hat.
DAS IST NICHT DIE ALTE LÜCKE
Kurze Einordnung, weil es leicht durcheinandergeht: Anfang August ging es um CVE-2026-9198, die damals von der US-Behörde CISA mit einer 48-Stunden-Frist versehen wurde. Das ist eine andere Schwachstelle. Wer damals gepatcht hat, ist deshalb heute nicht automatisch sicher. Zwei Löcher, zwei Fixes.
DIE ZAHLEN: Es geht schnell
Der Sicherheitsdienstleister VulnCheck hat die Angriffe auf eigenen Ködersystemen in Großbritannien mitgeschnitten. Am Wochenende zählte er dort mindestens 50 Ausnutzungsversuche. Bis zur Berichterstattung stieg die Gesamtzahl beobachteter Angriffe auf rund 360. Der Datenverkehr kam überwiegend aus Russland. Das ist keine gezielte Jagd auf einzelne Ziele — das ist ein Netz, das flächendeckend ausgeworfen wird.
SO PRÜFST DU DEINE INSTANZ — in 10 MINUTEN
1. Erreichbarkeit klären. Hängt dein Langflow an einer öffentlichen IP oder hinter einem Reverse Proxy im Netz? Dann ist es Ziel. Nimm es sofort vom offenen Internet und lege es hinter VPN oder eine Authentifizierung davor.
2. Version prüfen und aktualisieren. Spiel die aktuelle Fassung ein, in der der Code-Validator abgesichert ist. Vorher ein Backup ziehen.
3. Alle Schlüssel tauschen. Das ist der Schritt, den die meisten überspringen — und der wichtigste. Ein Patch schließt die Tür. Er nimmt niemandem den Schlüssel wieder ab, der schon durch ist. Erneuere jeden in Langflow hinterlegten Zugang.
4. Rechnungen kontrollieren. Schau in die Nutzungsübersichten deiner KI- und Cloud-Anbieter. Ungewöhnliche Ausschläge in den letzten Tagen sind das deutlichste Warnzeichen.
5. Spuren suchen. Unbekannte Prozesse, neue Cronjobs, fremde SSH-Schlüssel, ungewöhnliche ausgehende Verbindungen.
FAZIT: Kein Werkzeug fürs offene Internet
Langflow ist ein Entwicklungswerkzeug. Es gehört ins interne Netz oder hinter ein VPN — nie ungeschützt ans offene Netz. Diese Lücke ist die dritte Erinnerung daran binnen weniger Monate. Irgendwann sollte man sie annehmen.