Previdian зафиксировала 1423 атаки на RCE-уязвимость Langflow
Компания Previdian зарегистрировала 1423 попытки эксплуатации критической уязвимости CVE-2026-105740 в платформе Langflow с 19 сентября 2026 года. Проблема с оценкой CVSS 9,9 затрагивает версии до 1.9.0 и позволяет любому аутентифицированному пользователю, включая обычную учётную запись без прав администратора, выполнять команды операционной системы на сервере.
Langflow — открытая платформа для создания ИИ-приложений и агентных рабочих процессов. В феврале 2025 года DataStax, материнскую компанию проекта, приобрела IBM.
Как работает уязвимость
Ошибка связана с настройкой MCP-сервера, использующего транспорт stdio. Поле команды, которое задаёт пользователь, передаётся в bash через конструкцию exec без проверки, списка разрешённых исполняемых файлов и изоляции. Команда выполняется при получении списка MCP-серверов.
Для атаки достаточно войти под обычной учётной записью, отправить специально сформированный POST-запрос к /api/v2/mcp/servers/{server_name} и сохранить вредоносную команду в конфигурации. Затем запрос списка серверов к /api/v2/mcp/servers?action_count=true запускает эту команду на стороне сервера с правами процесса Langflow.
Поле окружения также допускает внедрение произвольных переменных, в том числе через LD_PRELOAD или подмену PATH. Сохранённая конфигурация MCP остаётся в настройках проекта и вновь исполняется при каждой загрузке списка серверов. При обычной проверке потоков она не отображается в редакторе, в отличие от кода пользовательских компонентов.
Наблюдаемая активность
Сенсоры-ловушки Previdian увидели обращения с 27 уникальных IP-адресов из 15 стран. Рост начался 11 октября, когда было зафиксировано 333 попытки; 15 октября компания наблюдала ещё 66 попыток.
В одной из последовательностей злоумышленники сначала проверяли версию Langflow, затем обращались к /api/v1/auto_login. В ловушке этот запрос вернул 403, поскольку функция была отключена. После этого атакующие успешно использовали распространённые имя пользователя и пароль, получили bearer-токен и сразу обратились к уязвимому интерфейсу настройки MCP.
Среди перехваченных полезных нагрузок были попытки извлечь LANGFLOW_SECRET_KEY и LANGFLOW_SUPERUSER_PASSWORD, передать их на внешний адрес, а также команды Docker для доступа к файловой системе хоста и чтения /etc/passwd. Фиксировались и простые проверки выполнения команд, такие как id и whoami.
Что проверить администраторам
Эта кампания продолжает картину, в которой эксплуатация RCE в Langflow для Monero-майнера описывает использование RCE в Langflow для развёртывания Monero-майнера на открытых AI-конечных точках. В текущем случае Previdian отдельно рекомендует изучить журналы аутентификации и запросы к /api/v2/mcp/servers/ на предмет подозрительной активности.
Langflow следует обновить до исправленной версии, отключить автоматический вход и назначить уникальные сложные пароли. Если обновление нельзя установить немедленно, следует задать LANGFLOW_AUTO_LOGIN=false, не публиковать Langflow напрямую в недоверенных сетях и выдавать доступ только доверенным пользователям. Для бизнеса практический минимум — проверить учётные записи, журналы API и сохранённые MCP-конфигурации, поскольку именно они могут скрывать повторно выполняемую команду.