#Künstliche Intelligenz · 4 Min. Lesezeit · Tim Rinkel

SCHLÜSSEL-KLAU! Deine Langflow-Instanz gibt gerade OpenAI- und AWS-Zugänge heraus

SCHLÜSSEL-KLAU! Deine Langflow-Instanz gibt gerade OpenAI- und AWS-Zugänge heraus

Es ist die unangenehmste Sorte Sicherheitsmeldung: Die Lücke ist nicht neu, der Angriff schon. CVE-2026-0768 in Langflow — der Baukasten, mit dem viele ihre KI-Abläufe zusammenklicken — wird seit dem Wochenende aktiv ausgenutzt. Und die Angreifer sind nicht auf Rechenleistung aus. Sie holen sich deine Schlüssel.

WAS DIE ANGREIFER MITNEHMEN

Langflow ist genau deshalb so praktisch — und so gefährlich, wenn es aufreißt: In der Instanz liegen die Zugangsdaten zu allem, was du angebunden hast. OpenAI-Schlüssel. AWS-Zugänge. Tokens für Datenbanken und interne Dienste. Wer die Lücke ausnutzt, muss sich nicht mühsam durch dein Netz arbeiten. Er liest die Schlüsselsammlung aus und meldet sich anschließend als du an — bei Diensten, die deine Kreditkarte belasten.

WIE DIE LÜCKE FUNKTIONIERT

Der Fehler steckt im Code-Validator des Editors für eigene Komponenten. Der Endpunkt zum Prüfen von Code nimmt einen vom Nutzer gelieferten Text entgegen — und führt ihn als Python aus, ohne ihn vorher sauber zu prüfen. Ergebnis: Codeausführung als root, ohne jede Anmeldung. Die Bewertung liegt bei CVSS 9,8, praktisch der Höchstwert.

Gemeldet wurde das Problem bereits im Januar über die Zero Day Initiative von Trend Micro. Der Hersteller nennt Version 1.4.2 als betroffen. Wer eine ältere oder gleich alte Installation betreibt, sollte davon ausgehen, angreifbar zu sein, bis er das Gegenteil geprüft hat.

DAS IST NICHT DIE ALTE LÜCKE

Kurze Einordnung, weil es leicht durcheinandergeht: Anfang August ging es um CVE-2026-9198, die damals von der US-Behörde CISA mit einer 48-Stunden-Frist versehen wurde. Das ist eine andere Schwachstelle. Wer damals gepatcht hat, ist deshalb heute nicht automatisch sicher. Zwei Löcher, zwei Fixes.

DIE ZAHLEN: Es geht schnell

Der Sicherheitsdienstleister VulnCheck hat die Angriffe auf eigenen Ködersystemen in Großbritannien mitgeschnitten. Am Wochenende zählte er dort mindestens 50 Ausnutzungsversuche. Bis zur Berichterstattung stieg die Gesamtzahl beobachteter Angriffe auf rund 360. Der Datenverkehr kam überwiegend aus Russland. Das ist keine gezielte Jagd auf einzelne Ziele — das ist ein Netz, das flächendeckend ausgeworfen wird.

SO PRÜFST DU DEINE INSTANZ — in 10 MINUTEN

1. Erreichbarkeit klären. Hängt dein Langflow an einer öffentlichen IP oder hinter einem Reverse Proxy im Netz? Dann ist es Ziel. Nimm es sofort vom offenen Internet und lege es hinter VPN oder eine Authentifizierung davor.

2. Version prüfen und aktualisieren. Spiel die aktuelle Fassung ein, in der der Code-Validator abgesichert ist. Vorher ein Backup ziehen.

3. Alle Schlüssel tauschen. Das ist der Schritt, den die meisten überspringen — und der wichtigste. Ein Patch schließt die Tür. Er nimmt niemandem den Schlüssel wieder ab, der schon durch ist. Erneuere jeden in Langflow hinterlegten Zugang.

4. Rechnungen kontrollieren. Schau in die Nutzungsübersichten deiner KI- und Cloud-Anbieter. Ungewöhnliche Ausschläge in den letzten Tagen sind das deutlichste Warnzeichen.

5. Spuren suchen. Unbekannte Prozesse, neue Cronjobs, fremde SSH-Schlüssel, ungewöhnliche ausgehende Verbindungen.

FAZIT: Kein Werkzeug fürs offene Internet

Langflow ist ein Entwicklungswerkzeug. Es gehört ins interne Netz oder hinter ein VPN — nie ungeschützt ans offene Netz. Diese Lücke ist die dritte Erinnerung daran binnen weniger Monate. Irgendwann sollte man sie annehmen.

Häufige Fragen

Welche Versionen sind betroffen?
Der Hersteller nennt Langflow 1.4.2 als betroffene Fassung. Da die Lücke im Code-Validator des Editors für eigene Komponenten steckt und bereits seit Januar bekannt ist, solltest du jede nicht aktuell gehaltene Installation als angreifbar behandeln, bis du die eingesetzte Version geprüft hast.
Wie merke ich, ob meine Instanz verwundbar ist?
Entscheidend ist die Erreichbarkeit: Ist dein Langflow aus dem Internet aufrufbar, wird es mit hoher Wahrscheinlichkeit bereits gescannt. Prüfe die laufende Version, sieh in den Zugriffsprotokollen nach Aufrufen des Validierungs-Endpunkts und kontrolliere den Server auf unbekannte Prozesse, neue Cronjobs und fremde SSH-Schlüssel.
Wie behebe ich das Problem konkret?
In dieser Reihenfolge: Instanz vom offenen Internet trennen, aktuelle Langflow-Version einspielen, anschließend sämtliche in Langflow hinterlegten Zugangsdaten erneuern. Der letzte Schritt ist unverzichtbar — ein Update entzieht abgeflossenen Schlüsseln nicht ihre Gültigkeit.
Gab es schon aktive Angriffe?
Ja. VulnCheck registrierte auf Ködersystemen in Großbritannien am Wochenende mindestens 50 Ausnutzungsversuche; die Gesamtzahl beobachteter Angriffe stieg auf rund 360. Der Datenverkehr stammte überwiegend aus Russland. Ziel der Angriffe war das Abgreifen gespeicherter Zugangsdaten.
Ist das dieselbe Lücke wie im August?
Nein. Im August ging es um CVE-2026-9198, für die CISA eine 48-Stunden-Frist gesetzt hatte. CVE-2026-0768 ist eine eigenständige Schwachstelle mit einem anderen Angriffspunkt. Ein Patch gegen die ältere Lücke schützt nicht gegen diese.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert