Die US-Behörde CISA warnt vor ausgenutzte Sicherheitslücken, die bereits aktiv von Angreifern missbraucht werden. Konkret geht es um Schwachstellen in IBM Langflow OSS, N-able N-central sowie Apache Tomcat. Für Unternehmen und Betreiber ist die Meldung vor allem deshalb relevant, weil sich die Lücken offenbar nicht nur theoretisch ausnutzen lassen, sondern in der Praxis zu weitreichenden Zugriffen führen können.
In der Mitteilung werden die betroffenen Probleme über zugehörige CVEs und Schweregrade eingeordnet. Außerdem verweist CISA auf seine Known Exploited Vulnerabilities (KEV)-Liste, in die die Lücken aufgenommen wurden. Das bedeutet in der Praxis: Es handelt sich um Schwachstellen, die nachweislich aktiv angegriffen werden.
Warum die CISA-Warnung besonders ernst zu nehmen ist
CISA ordnet die aktuellen Meldungen dem Bereich „bereits ausgenutzt“ zu. Das ist für Sicherheitsverantwortliche ein deutliches Signal: Wer betroffene Systeme betreibt, sollte nicht abwarten, bis weitere Details durchsickern. Stattdessen empfiehlt sich eine schnelle Prüfung, ob die eigenen Installationen betroffen sind, gefolgt von einem Patch- oder Migrationsplan.
Ein weiterer Punkt ist die Dynamik der Angriffe. In mehreren Fällen wird beschrieben, dass Bedrohungsakteure vorhandene Schwachstellen in Kombination mit veröffentlichter oder bereits kursierender Angriffstechnik verwenden. Dadurch kann sich die Lage innerhalb kurzer Zeit zuspitzen.
Langflow OSS: CVE-2026-9198 ermöglicht Remote Code Execution
Die bekannteste der drei aktuellen Schwachstellen betrifft IBM Langflow OSS. Diese wird unter CVE-2026-9198 geführt und erhält einen CVSS-Wert von 9,8, was auf ein sehr hohes Risiko hinweist. Laut CISA erlaubt die Lücke Angreifern ohne Authentifizierung, zwei API-Endpunkte zu einer Kette zu verbinden, sodass es zu Remote Code Execution kommen kann.
Wie die Angriffskette funktioniert
IBM beschreibt die Logik der Ausnutzung als Kombination zweier Probleme:
- Ein nicht authentifizierter Endpunkt stellt für jeden Netzwerkaufrufer Superuser-Bearer-Tokens aus.
- Ein weiterer Endpunkt zur Code-Validierung kann beliebigen Python-Code ausführen.
Entscheidend ist die Reihenfolge: Ein Angreifer holt sich zunächst über den automatischen Login-Mechanismus bzw. den entsprechenden Endpunkt ein Superuser-Token. Anschließend nutzt er dieses Token, um über den Validierungsendpunkt bösartigen Code einzureichen.
Patch-Status und was „Default Deployments“ bedeutet
Die Schwachstelle wurde am 17. Juli offengelegt. IBM brachte dafür Patches heraus, unter anderem für Langflow OSS Version 1.10.1. IBM hebt zudem hervor, dass Standardbereitstellungen betroffen sind. Für Betreiber heißt das: Wer eine typische Installation betreibt, sollte besonders gründlich nachrüsten.
Etwa eine Woche nach der öffentlichen Bekanntgabe wurde zudem Proof-of-Concept (PoC)-Code veröffentlicht, der gezielt auf die Schwachstelle abzielt. Am 4. August nahm CISA die CVE in die KEV-Liste auf.
N-central: Authentifizierungsumgehung als Zero-Day
Die zweite gemeldete Lücke betrifft N-able N-central. Sie ist als CVE-2026-18556 mit einem CVSS-Wert von 7,4 klassifiziert und wird als Authentication Bypass beschrieben. CISA führt diese Schwachstelle ebenfalls als bereits ausgenutzt.
Administrativen Zugriff erlangen
Nach Angaben von N-able nutzten Angreifer die Lücke als Zero-Day, um administrativen Zugriff zu erhalten. Zudem berichten die Informationen, dass Angreifer sich damit mit über die Remote Monitoring and Management (RMM)-Plattform verwalteten Systemen verbinden konnten.
Erste Korrektur war unvollständig
Ein kritischer Aspekt ist die Patch-Qualität: Der anfängliche Fix für CVE-2026-18556 soll unvollständig gewesen sein. Bedrohungsakteure umgingen diese Korrektur, weshalb N-able später einen Hotfix bereitstellte. Dieser Hotfix führte zu einer zusätzlichen CVE: CVE-2026-18577.
Damit liegen inzwischen sowohl CVE-2026-18556 als auch CVE-2026-18577 auf der KEV-Liste von CISA. Für Unternehmen bedeutet das: Es reicht unter Umständen nicht, irgendeinen „ähnlichen“ Patch installiert zu haben—entscheidend ist, dass der passende Stand wirklich nachgezogen wurde.
Apache Tomcat: EncryptInterceptor-Bypass und Risiko für Code-Ausführung
Die dritte Schwachstelle in der CISA-Warnung betrifft Apache Tomcat. Sie ist als CVE-2026-34486 erfasst, bewertet mit einem CVSS-Wert von 7,5, und wurde als EncryptInterceptor bypass beschrieben. Laut den Informationen ist die Lücke gepatcht worden, und zwar im April.
Ursache: Änderungen, die aus „fail-closed“ ein „fail-open“ machten
Nach den vorliegenden Erklärungen wurde die Schwachstelle bereits im März eingeführt. Der Kontext: Der Patch für CVE-2026-29146—eine Padding-Oracle-Problematik im EncryptInterceptor—veränderte eine Code-Zeile. Diese Änderung soll dafür gesorgt haben, dass die Verschichtungsschicht nicht mehr „fail-closed“, sondern „fail-open“ arbeitet.
Was das bedeutet: Sobald das Entschlüsseln fehlschlägt, entsteht ein direkter Pfad, der unter bestimmten Umständen zu unauthentifizierter Remote Code Execution auf jedem Cluster-Mitglied führen kann. StrigaAI, das die Schwachstelle identifizierte, wird mit einer präzisen Beschreibung zitiert, wie die Logik des Interceptors die Voraussetzungen schafft.
Warum konfigurierte Deployments besonders betroffen sein können
Der EncryptInterceptor ist ein optionaler Channel-Interceptor, der Nachrichten zwischen Knoten in Tomcat-Clustern verschlüsselt. Auf Deployments mit aktivierter Konfiguration sollte nur entschlüsselter Inhalt mit einem gemeinsamen Schlüssel weitergereicht werden—und damit zur Deserialisierung gelangen.
Durch den Bypass wird jedoch, sobald die Entschlüsselung scheitert, angreiferbeeinflusster Inhalt unmodifiziert in die nachfolgende Verarbeitungskette weitergereicht. Genau dadurch kann bösartiger Code weiterkommen, obwohl die Verschlüsselung eigentlich Schutz bieten sollte.
Hinweise auf laufende Ausnutzung durch staatlich oder gruppenbezogen agierende Akteure
Neben der CISA-Meldung wird in den Informationen auch auf Beobachtungen weiterer Anbieter verwiesen. SOCRadar warnte demnach, dass CVE-2026-34486 bereits von einem chinesischen Bedrohungsakteur in Angriffen genutzt worden sein soll, bei denen die Snowlight-Malware-Familie eine Rolle spielte.
Auch Palo Alto Networks soll die Ausnutzung der Tomcat-Lücke in Verbindung mit einer Kampagne beobachtet haben, die als KI-gestützt und auf „autonomes“ Hacking ausgerichtet beschrieben wird. Solche Hinweise sind keine Garantie für jeden einzelnen Einzelfall, liefern aber ein klares Bild: Die Schwachstelle ist nicht nur „im Umlauf“, sondern kann in konkreten Operationen relevant sein.
Zeitrahmen: Patchen bis zum 7. August
Im Rahmen der Vorgaben nach BOD 26-04 fordert CISA Bundesbehörden auf, alle drei genannten Lücken bis zum 7. August zu schließen. Auch wenn diese Frist primär für öffentliche Einrichtungen gilt, ist sie als Orientierung für alle Organisationen gedacht, die denselben Technologiestack einsetzen.
Für Betreiber heißt das konkret: Prüfen Sie Ihre Systeme, verifizieren Sie Versionen und Konfigurationen und sorgen Sie dafür, dass passende Patches vollständig eingespielt sind—insbesondere bei Fällen wie N-central, bei denen ein Hotfix zu einer zusätzlichen CVE geführt hat.
Checkliste: So gehen Sie jetzt pragmatisch vor
Um das Risiko durch ausgenutzte Sicherheitslücken kurzfristig zu senken, bietet sich eine strukturierte Vorgehensweise an:
- Assets identifizieren: Erfassen Sie, ob Langflow OSS, N-central und Apache Tomcat in Ihrer Umgebung im Einsatz sind.
- Versionen abgleichen: Vergleichen Sie Ihre installierten Versionen mit den genannten Patchständen, insbesondere bei Langflow OSS.
- Konfiguration prüfen: Beim Tomcat-Thema spielt die Aktivierung von EncryptInterceptor eine Rolle—testen Sie betroffene Cluster-Konfigurationen.
- Patches nachweisbar ausrollen: Stellen Sie sicher, dass Hotfixes nicht nur „gemeldet“, sondern tatsächlich wirksam installiert sind.
- Monitoring und Logs prüfen: Achten Sie auf ungewöhnliche Aktivitäten, insbesondere dort, wo Remote Code Execution theoretisch möglich ist.
Fazit
Die aktuelle CISA-Warnung macht deutlich, dass die Bedrohungslage rund um ausgenutzte Sicherheitslücken weiter zunimmt. Drei Bereiche stehen im Fokus: Langflow OSS mit einer Kette aus Endpunkten, die Remote Code Execution ermöglichen kann, N-central mit einer dokumentierten Authentifizierungsumgehung und Apache Tomcat mit einem EncryptInterceptor-Bypass, der in bestimmten Setups zu ernsthaften Konsequenzen führen kann.
Wer jetzt handelt, kann den Schaden begrenzen: Patchen, konfigurieren und die eigene Umgebung schnell verifizieren—bevor Angreifer die nächsten Schritte automatisieren.
Quelle: https://www.securityweek.com/cisa-warns-of-exploited-langflow-n-central-and-tomcat-vulnerabilities/
