Langflow OSS: čtyři kritické chyby, jedna umožňuje spustit kód bez přihlášení

Co se stalo

Langflow je open-source nástroj pro skládání aplikací s umělou inteligencí, například chatbotů, AI agentů nebo vyhledávání ve firemních dokumentech. Ovládá se přes webové rozhraní, ve kterém se jednotlivé kroky spojují do takzvaných toků (flows). Bezpečnostní bulletiny a opravy pro Langflow OSS vydává společnost IBM.

IBM 28. října 2026 zveřejnil bulletin o několika zranitelnostech ve verzích 1.0.0 až 1.12.8 a 29. října 2026 ho doplnil. Nejzávažnější jsou CVE-2026-110186, která podle IBM umožňuje vzdálenému útočníkovi spustit libovolný kód, a CVE-2026-93680, která kvůli chybnému ověřování přihlášení umožňuje obejít bezpečnostní omezení. Databáze NVD je zveřejnila 29. října 2026.

Už 19. října 2026 vydal IBM samostatný bulletin pro verze 1.0.0 až 1.12.4. Jsou v něm mimo jiné chyby CVE-2026-107327 a CVE-2026-107329, které umožňují spustit kód útočníkovi s běžným účtem v Langflow.

IBM ani americká agentura CISA ke dni psaní neuvádějí, že by útočníci tyto chyby aktivně zneužívali. Evropská databáze zranitelností EUVD agentury ENISA je vede jako EUVD-2026-113134, EUVD-2026-113155, EUVD-2026-113137 a EUVD-2026-113135, rovněž bez záznamu o zneužívání.

Proč je to nebezpečné

Dvě ze čtyř chyb, CVE-2026-110186 a CVE-2026-107329, jsou typu „code injection“ (CWE-94). Aplikace tedy nedostatečně kontroluje, jaký kód vytvoří a spustí. CVE-2026-93680 je chyba ověřování přihlášení (CWE-287) a CVE-2026-107327 chybějící kontrola oprávnění (CWE-862). Představte si kuchaře, který uvaří cokoli, co mu někdo napíše na lístek, a neověří, kdo ho poslal. Pokud útočník podstrčí vlastní „recept“, server ho poslušně provede.

U CVE-2026-110186 a CVE-2026-93680 podle hodnocení IBM útočník nepotřebuje přihlášení ani součinnost uživatele a útok probíhá přes síť. IBM v souhrnu bulletinu zmiňuje neúplnou opravu automatického přihlášení (auto-login), únik API klíčů bez zamýšlené autorizace a spuštění kódu bez přihlášení přes výpis nástrojů protokolu MCP (Model Context Protocol). Dopad na důvěrnost, integritu i dostupnost IBM hodnotí jako vysoký.

CVSS je stupnice od 0 do 10, která vyjadřuje závažnost zranitelnosti. Hodnoty od 9 výše znamenají kritickou chybu. IBM jako výrobce přidělil podle CVSS verze 3.1 hodnotu 9,8 chybám CVE-2026-110186 a CVE-2026-93680 a hodnotu 9,9 chybám CVE-2026-107327 a CVE-2026-107329. U posledních dvou útočník potřebuje běžný účet, dopad však může přesáhnout samotnou aplikaci.

Katalog CISA KEV je seznam chyb, jejichž zneužívání v praxi americká agentura CISA potvrdila. Tyto chyby v něm ke dni psaní nejsou. Skóre EPSS odhaduje pravděpodobnost zneužití v příštích 30 dnech. Pro tyto chyby zatím není k dispozici. Langflow ale může uchovávat API klíče k AI službám a IBM zmiňuje i jejich možný únik. Aktualizaci proto neodkládejte.

Koho se to týká

Zasažen je Langflow OSS ve verzích 1.0.0 až 1.12.8 (CVE-2026-110186, CVE-2026-93680). Chyby CVE-2026-107327 a CVE-2026-107329 se týkají verzí 1.0.0 až 1.12.4. IBM uvádí platformy Linux, Windows a Mac OS.

Langflow obvykle běží na firemním serveru, na virtuálním stroji v cloudu nebo v Docker kontejneru, kde ho vývojáři a analytici používají ke stavbě chatbotů a AI agentů. Nejvíce ohrožené jsou instalace dostupné z internetu. Server ve vnitřní síti je však zranitelný vůči každému, kdo se do sítě už dostal. Myslete i na testovací instalace, které někdo spustil „jen na vyzkoušení“ a zapomněl na ně.

Verze 1.13.0 je podle IBM opravená. Firem, které Langflow nepoužívají, se tyto chyby netýkají.

Jak zjistit, zda jste zasaženi

Pokud Langflow běží jako balíček Pythonu, verzi zjistíte tímto příkazem. Spusťte ho ve stejném virtuálním prostředí, ve kterém je Langflow nainstalovaný:

pip show langflow

Pokud běží v Dockeru, nejprve si vypište běžící kontejnery a jejich obrazy:

docker ps --format "{{.Names}}  {{.Image}}"

Pokud obraz nemá v názvu číslo verze (například značka latest), zjistěte verzi přímo v kontejneru. Místo NAZEV_KONTEJNERU doplňte název z předchozího výpisu. Příkaz vypíše jen číslo verze:

docker exec NAZEV_KONTEJNERU python -c "import importlib.metadata as m; print(m.version('langflow'))"

Pokud je verze v rozsahu 1.0.0 až 1.12.8, instalace je zranitelná. Verze 1.0.0 až 1.12.4 zasahují všechny čtyři chyby. Tyto příkazy nic nemění, pouze čtou informace.

Jak to opravit

IBM důrazně doporučuje aktualizovat Langflow OSS na verzi 1.13.0, která řeší všechny čtyři kritické chyby. Verze 1.12.5 opravuje jen chyby z bulletinu z 19. října 2026, nikoli CVE-2026-110186 a CVE-2026-93680. Dočasné řešení, které by nahradilo aktualizaci, IBM pro novější chyby neposkytuje.

Zálohujte databázi, tajný klíč (secret key) a nahrané soubory.
Pokud používáte automatické přihlášení (auto-login), připravte stávající účet na přihlašování heslem podle návodu IBM k instalaci a k aktualizaci v Dockeru.
Přečtěte si poznámky k vydání 1.13.0.
Instalace přes Python: aktualizujte příkazem níže.
Docker: použijte obraz langflowai/langflow:1.13.0, stáhněte ho a restartujte nasazení tak, aby zůstala zachována trvalá data.
Po aktualizaci znovu ověřte verzi a otestujte své toky.

pip install --upgrade "langflow==1.13.0"

Pokud používáte MCP stdio, IBM v bulletinu z 19. října 2026 doporučuje kromě aktualizace nastavit proměnné prostředí LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true a LANGFLOW_CUSTOM_COMPONENT_ADMIN_ONLY=true a službu restartovat. Tato nastavení aktualizaci nenahrazují a mohou vyžadovat úpravu konfigurace MCP serverů. U veřejných toků ponechte výchozí omezení a nezapínejte LANGFLOW_ALLOW_PUBLIC_CUSTOM_COMPONENTS.

Dokud aktualizaci nestihnete, jako obecné opatření pomůže odpojit Langflow od internetu a zpřístupnit ho jen přes VPN nebo vnitřní síť. Aktualizaci to nenahrazuje. Postupujte v pořadí: nejprve servery dostupné z internetu, potom interní a testovací instalace.

Co když už jste mohli být napadeni

IBM v bulletinech neuvádí konkrétní indikátory napadení. Pokud byl zranitelný Langflow dostupný z internetu, počítejte s tím, že ho někdo mohl zkoušet. Podívejte se na:

neznámé uživatelské účty v Langflow nebo nečekané změny oprávnění
nové nebo upravené toky a vlastní komponenty s kódem v Pythonu, které nikdo z týmu nevytvořil
logy Langflow a reverzní proxy, zejména neobvyklé požadavky z neznámých IP adres
neznámé procesy, nové soubory a neobvyklá odchozí spojení ze serveru nebo kontejneru
neobvyklou spotřebu u poskytovatelů AI služeb, která může prozradit zneužití ukradeného API klíče

Pokud byl Langflow zranitelný a dostupný z internetu, vyměňte všechny API klíče a hesla, které v něm byly uložené. V bulletinu z 19. října 2026 IBM u další chyby CVE-2026-77817, opravené ve verzi 1.11.5, upozorňuje, že přihlašovací údaje v dříve exportovaných tocích a projektech je třeba zneplatnit nebo vyměnit. Aktualizace je z již exportovaných kopií neodstraní. Pokud najdete stopy napadení, odpojte server od sítě, nemažte důkazy a přizvěte odborníka na řešení bezpečnostních incidentů.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.