Langflow, een open-source platform waarmee ontwikkelaars AI-toepassingen en agent-achtige workflows bouwen, staat onder druk door een critical authenticated RCE-kwetsbaarheid. Onderzoekers van Previdian melden dat aanvallers misbruik maken van de fout in CVE-2026-105740, met een CVSS-score van 9.9. De kern: een geauthenticeerde gebruiker kan commando’s laten uitvoeren op de server.
Deze situatie is extra urgent omdat het om een geauthenticeerde aanval gaat: niet anonieme toegang, maar toegang met een geldig account. Toch kan die toegang ook afkomstig zijn van niet-beheerders. Hieronder leggen we uit wat er precies misgaat, hoe aanvallen in de praktijk verlopen en welke acties je nu kunt ondernemen.
Wat is Langflow authenticated RCE precies?
De kwetsbaarheid, CVE-2026-105740, betreft authenticated remote code execution in versies vóór 1.9.0. Dat betekent dat een aanvaller eerst moet inloggen, waarna een speciaal ingerichte MCP-serverconfiguratie kan leiden tot uitvoering van willekeurige commando’s op het systeem waarop Langflow draait.
Volgens de advisory kan een gebruiker Remote Code Execution bereiken door een MCP-server toe te voegen met een stdio-transport. Het probleem daarbij is dat het systeem een door de gebruiker aangeleverde command-waarde zonder effectieve restricties doorgeeft aan een shell-constructie.
Waarom leidt dit tot shell-commando’s?
Het uitvoermechanisme is verwoord als: de door de gebruiker aangeleverde command gaat direct naar een shell-commando, zonder allowlisting en zonder sandboxing. Dat is gevaarlijk omdat het commando direct wordt uitgevoerd zodra de serverlijst wordt opgehaald.
Daarnaast kan de env-parameter worden gebruikt voor het injecteren van omgevingsvariabelen. Denk aan scenario’s waarin variabelen worden aangepast om het gedrag van processen te beïnvloeden (bijvoorbeeld via technieken zoals het overschrijven van paden of het laden van alternatieve bibliotheken, zoals in de advisory als voorbeeld wordt genoemd).
Hoe ziet een aanval op Langflow authenticated RCE eruit?
Een belangrijk punt: MCP-serverconfiguraties zitten niet netjes op dezelfde plek als componentcode die je in de flow-editor ziet. In plaats daarvan worden MCP-configs opgeslagen in projectinstellingen. Daardoor kan een snelle review van de flow minder snel opvallen.
In een geschetst aanvalsscenario verloopt het misbruik in grote lijnen zo:
- Inloggen als gewone gebruiker (niet-admin is voldoende).
- Een kwaadwillige MCP-server toevoegen door een speciaal gemaakte HTTP POST te sturen naar /api/v2/mcp/servers/{server_name}, met een payload in het veld command (bijvoorbeeld richting een reverse shell).
- Langflow accepteert en bewaart de opgegeven command zonder effectieve validatie.
- De fout wordt getriggerd door de MCP-serverlijst op te halen via GET /api/v2/mcp/servers?action_count=true. Op dat moment wordt de command uitgevoerd.
- De aanvaller verkrijgt code execution en kan vervolgens verdergaan.
Langflow waarschuwt dat elke geauthenticeerde gebruiker, inclusief niet-beheerders, hiermee OS-commando’s kan uitvoeren met de privileges van het Langflow-proces.
Wat kan een aanvaller bereiken na succesvolle exploit?
Als de shell-uitvoering lukt, kan de impact uiteenlopen. De advisory en onderzoeksdata noemen onder meer:
- Volledige servercompromittatie (afhankelijk van privileges en omgeving).
- Injectie via omgevingsvariabelen om gedrag van processen te beïnvloeden.
- Faciliteren van laterale beweging binnen het netwerk of richting andere systemen.
- Het opzetten van een persistente backdoor, omdat de kwaadaardige MCP-serverconfiguratie blijft staan en opnieuw wordt uitgevoerd telkens wanneer de serverlijst wordt geladen.
Met andere woorden: het is niet alleen een eenmalige fout, maar een mechanisme dat herhaling mogelijk maakt zolang de gemanipuleerde configuratie aanwezig is.
Waarnemingen: 1.423 pogingen en stijging rond 11 oktober
Previdian rapporteert dat hun honeypot-sensoren sinds 19 september 2026 1.423 exploitpogingen hebben geregistreerd tegen Langflow. Daarbij zouden pogingen afkomstig zijn van 27 unieke IP-adressen, verspreid over onder andere België, China, Duitsland, Hongkong, Japan, Nigeria, de Filipijnen, Rusland, Seychellen, Singapore, Zuid-Korea, Taiwan, Tanzania, de Verenigde Staten en Vietnam.
De activiteit nam op 11 oktober 2026 duidelijk toe: toen werden 333 pogingen geregistreerd. Op het moment van schrijven, 15 oktober 2026, werden 66 pogingen waargenomen.
Voorbeelden van payloads
Onder de vastgelegde activiteiten bevinden zich pogingen om gevoelige omgevingsvariabelen en configuratiegegevens op te halen. Daarbij worden onder andere referenties genoemd naar geheimen en superuser-instellingen. Ook werden commando-probes gezien zoals eenvoudige checks met opdrachten als id en whoami.
Verder waren er Docker-achtige commando’s gericht op het benaderen van hostbestanden en het lezen van content uit locaties zoals /etc/passwd.
Welke rol speelt authenticatie bij Langflow authenticated RCE?
Omdat de kwetsbaarheid vereist dat je geauthenticeerd bent, focusten onderzoekers ook op de manier van inloggen. In een waargenomen reeks controleerden aanvallers eerst de Langflow-versie, waarna ze pogingen deden richting /api/v1/auto_login. In dat honeypot-scenario was auto-login uitgeschakeld en gaf de endpoint een 403.
Daarna authenticeren aanvallers met een “common username and password” en gebruiken ze direct de resulterende bearer token om toegang te krijgen tot het endpoint waarmee de MCP-serverconfiguratie kan worden aangepast.
Een opvallend detail is dat één IP-adres bovendien betrokken was bij brute-force activiteiten en ook andere fouten in tools probeerde, waaronder Flowise en meerdere Langflow-issues. Dat wijst op breed georiënteerde scanning en automatisering.
Zo pak je dit aan: upgrades en directe hardening
De meest robuuste stap is het upgraden van Langflow naar een gepatchte versie. Tegelijkertijd zijn er meerdere maatregelen die de kans op misbruik verkleinen, zeker wanneer patchen niet onmiddellijk haalbaar is.
Aanbevolen maatregelen (volgens de advieslijnen)
- Upgrade Langflow naar een versie die de kwetsbaarheid verhelpt (target: 1.9.0 of hoger).
- Disable auto-login door LANGFLOW_AUTO_LOGIN=false in te stellen.
- Gebruik sterke en unieke wachtwoorden voor accounts.
- Controleer authenticatie- en requestlogs, vooral rond verzoeken naar /api/v2/mcp/servers/ en gerelateerde endpoints.
- Vermijd blootstelling aan onbetrouwbare netwerken en beperk toegang tot alleen vertrouwde gebruikers.
Als je Langflow direct moet mitigeren zonder upgrade, is het vooral belangrijk om de aanvalsroutes te blokkeren: zorg dat je niet alleen de verkeerde endpoints dichtzet, maar ook dat accounts niet makkelijk te compromitteren zijn.
Waarom “flow review” alleen niet genoeg is
Een valkuil bij incident response is dat teams hun aandacht vaak richten op wat zichtbaar is in de flow-editor. Bij deze kwestie gaat de verdachtmaking echter niet primair over componentcode in de editor, maar over MCP-serverconfiguraties die zijn opgeslagen in projectinstellingen.
Daarom is het slim om niet alleen naar de flow te kijken, maar ook gerichte checks te doen op configuraties en API-acties die MCP-serverdata wijzigen.
Praktische context: RCE bij de AI-stack is niet uniek
Dit incident past in een bredere trend waarin AI-toepassingen en agent workflows steeds vaker worden gekoppeld aan externe componenten en integraties. Als daar een beveiligingsfout in zit, kan dat leiden tot gevolgen die lijken op klassieke server-side RCE.
Als je je wilt verdiepen in hoe incidenten met kwetsbaarheden in netwerk- en applicatiecomponenten doorgaans worden aangepakt, kan ook dit artikel relevant zijn: Cisco Secure Email Gateway: actief misbruik van kritieke bug.
Snelle checklist voor security teams
Wil je vandaag nog grip krijgen op Langflow authenticated RCE? Gebruik dan deze compacte checklist:
- Staat je Langflow op een versie ouder dan 1.9.0? Plan dan upgrade als hoogste prioriteit.
- Staan auto-login en zwakke accounts nog aan? Zet auto-login uit en herzie wachtwoordbeleid.
- Zijn er recent requests gedaan naar /api/v2/mcp/servers/? Zoek naar anomalieën in logs.
- Zijn er MCP-serverconfiguraties aanwezig die niet door jouw team zijn ingesteld? Herzie projectinstellingen.
- Werk je Langflow niet alleen naar buiten af, maar ook naar interne segmenten? Beperk toegang voor onbekende gebruikers.
Conclusie
De kwetsbaarheid rond Langflow authenticated RCE (CVE-2026-105740) laat zien hoe snel een geauthenticeerde fout kan uitgroeien tot servercompromittatie. Door het ontbreken van adequate restricties rond MCP stdio-commando’s kan een aanvaller met een geldig account commando’s laten uitvoeren en zelfs persistentie opbouwen via configuraties.
De belangrijkste remedie is upgrade naar 1.9.0 of hoger, gecombineerd met hardening (auto-login uit, sterke wachtwoorden, logreview) en het beperken van blootstelling aan onbetrouwbare netwerken. Pak daarnaast zowel de zichtbare flow als de onderliggende MCP-projectinstellingen aan—alleen dan verklein je de kans dat deze aanval onopgemerkt blijft.
Bron: https://thehackernews.com/2026/10/langflows-critical-authenticated-rce.html
