Langflow-hull i MCP-oppsettet utnyttes: 1 423 angrepsforsøk mot honningkrukker

1 423 utnyttelsesforsøk har sikkerhetsselskapet Previdian registrert mot honningkrukkene sine siden 19. september, skriver The Hacker News. Målet er CVE-2026-105740 (CVSS 9.9) i Langflow, den åpne plattformen for KI-apper og agentflyter som IBM fikk med på kjøpet av DataStax. Forsøkene kommer fra 27 unike IP-adresser, og de skjøt fart 11. oktober med 333 forsøk på én dag.

Hullet sitter i MCP-støtten. Legger du til en MCP-server med stdio-transport, sendes command-feltet rett inn i bash -c "exec {command}" uten validering, allowlist eller sandkasse, ifølge Langflows eget sikkerhetsvarsel fra 10. september. Feltet env lar deg i tillegg injisere variabler som LD_PRELOAD og PATH. Kommandoen kjører i det øyeblikket serverlista hentes med GET /api/v2/mcp/servers?action_count=true, noe UI-et gjør hver gang noen åpner MCP-innstillingene.

«Enhver autentisert Langflow-bruker, også kontoer uten adminrettigheter, kan kjøre vilkårlige OS-kommandoer på serveren med Langflow-prosessens rettigheter» — Langflow, sikkerhetsvarselet GHSA-7w94-79vh-5mr2

Kravet om innlogging er en svak brems i praksis. Previdian så angripere sjekke versjonen, prøve /api/v1/auto_login og så logge inn med vanlige standardpassord.

«Vi har undersøkt hvordan angriperne autentiserer seg, siden denne sårbarheten krever autentisering» — Ryan Dewhurst, grunnlegger og toppsjef i Previdian, til The Hacker News

Payloadene som er fanget opp, prøver å hente ut LANGFLOW_SECRET_KEY og LANGFLOW_SUPERUSER_PASSWORD og sende dem til en ekstern server, lese /etc/passwd via Docker-kommandoer og kjøre enkle sonderinger som id og whoami. IP-adressen bak en stor del av trafikken har ifølge GreyNoise også angrepet Flowise og tre eldre Langflow-hull: CVE-2026-55255, CVE-2026-9198 og CVE-2026-0768.

Det lumske er persistensen. Den ondsinnede MCP-konfigurasjonen lagres i prosjektinnstillingene og kjøres på nytt hver gang serverlista lastes. Langflow påpeker selv at slike konfigurasjoner, i motsetning til egendefinerte komponenter, ikke vises når du går gjennom en flyt i editoren. En kompromittert instans kan altså se ren ut ved vanlig gjennomgang.

Langflow rettet også CVE-2026-105697 (CVSS 9.9) forrige måned, en annen kommandoinjeksjon gjennom samme stdio-konfigurasjon. Kjører du Langflow i hjemmelaben eller på en VPS, er MCP-funksjonen du slo på for å koble agentene til verktøy nå selve angrepsflaten.

Hva bør du gjøre?

1. Oppgrader til Langflow 1.9.0 eller nyere.
2. Sett LANGFLOW_AUTO_LOGIN=false og bytt ut standard- og svake passord på alle kontoer.
3. Gå gjennom MCP-serverne i prosjektinnstillingene, og søk i loggene etter forespørsler til /api/v2/mcp/servers/.
4. Ikke eksponer Langflow direkte mot internett. Legg den bak VPN eller Tailscale, og gi bare kontoer til folk du stoler på.