Dua Celah Kritis di Langflow: Penyerang Tanpa Akun Bisa Ambil Alih Server Pembangun Agen AI

IBM mengungkap dua kerentanan kritis pada Langflow OSS, platform open-source populer untuk membangun agen dan alur kerja AI. Keduanya tidak memerlukan akun: penyerang jarak jauh dapat menembus autentikasi, mendapatkan akses superuser, dan menjalankan kode sembarang pada server. 🔗 The Hacker News

IBM memberi skor CVSS 9,8 (Kritis) untuk kedua celah, dan satu-satunya perbaikan adalah upgrade ke Langflow 1.13.0. Buletin keamanan IBM pertama kali diterbitkan 28 Oktober 2026 dan diperbarui keesokan harinya. 🔗 IBM Security Bulletin

Latar Belakang

Langflow adalah alat open-source yang banyak dipakai tim engineering dan perusahaan untuk merancang agen AI, rantai prompt, dan integrasi dengan model bahasa besar. Karena sifatnya yang fleksibel dan mudah dipasang, Langflow sering berjalan di server internal, lingkungan pengembangan, bahkan mesin produksi yang terhubung ke basis data dan layanan cloud.

Posisi strategis ini membuat celah keamanan pada Langflow berpotensi menjadi pintu masuk bagi penyerang untuk menguasai infrastruktur yang jauh lebih luas daripada satu aplikasi saja.

Dua Celah, Satu Rantai Serangan

IBM mengungkap empat kerentanan dalam satu buletin keamanan, tetapi dua di antaranya menjadi sorotan utama karena tingkat keparahannya. CVE-2026-93680 adalah celah autentikasi yang tidak sempurna: konfigurasi default LANGFLOW_AUTO_LOGIN memungkinkan penyerang jarak jauh menembus pemeriksaan autentikasi dan mendapatkan akses superuser tanpa kredensial. 🔗 CVE.org

Celah ini diklasifikasikan sebagai CWE-287 (Improper Authentication) dan memengaruhi Langflow versi 1.0.0 hingga 1.12.8. IBM menggambarkannya sebagai perbaikan yang belum tuntas atas kontrol auto-login sebelumnya. 🔗 Ostorlab

CVE-2026-110186 adalah celah pada pengendalian pembuatan kode (improper control of code generation, CWE-94). Setelah mendapatkan akses superuser, penyerang dapat memanfaatkan celah ini untuk menjalankan kode sembarang pada server. Salah satu jalur eksploitasi melibatkan Model Context Protocol (MCP): melalui endpoint MCP Langflow, penyerang dapat memicu eksekusi kode jarak jauh tanpa autentikasi. 🔗 CVE.org

Kedua celah diberi skor CVSS 3.1 sebesar 9,8 (Kritis). Dua celah lain, CVE-2026-110193 (skor 8,8) dan CVE-2026-110192 (skor 6,5), memerlukan akun dengan hak terbatas dan berpotensi memaksa asisten agenik menghasilkan atau mengirimkan kode komponen yang menjalankan perintah sistem operasi, serta membocorkan kredensial API. 🔗 The Hacker News

Dampak dan Konteks

Menurut analisis Ostorlab, penyerang tanpa autentikasi dapat menggabungkan CVE-2026-93680 dan CVE-2026-110186 untuk mendapatkan akses superuser lalu menjalankan kode sembarang pada server Langflow. Karena Langflow sering menyimpan kunci API, rahasia, dan koneksi ke layanan eksternal, kompromi pada satu instans dapat berujung pada pencurian kredensial cloud, akses ke basis data, hingga pengambilalihan agen AI yang terhubung. 🔗 Ostorlab

Konteks ini semakin penting mengingat Langflow sebelumnya pernah mengalami celah missing-authentication serupa (CVE-2025-3248) yang telah dieksploitasi dan masuk katalog Known Exploited Vulnerabilities (KEV) CISA. Riwayat ini menunjukkan bahwa instans Langflow yang terekspos internet menjadi target nyata, bukan sekadar ancaman teoritis. 🔗 Ostorlab

Sebagai catatan, hingga pembaruan katalog CISA pada 30 Oktober 2026, kedua celah baru ini belum tercatat dieksploitasi di alam liar. Namun sebuah modul Metasploit publik untuk CVE-2026-93680 sudah tersedia dan membuktikan bahwa celah autentikasi tersebut dapat dieksploitasi secara praktis. 🔗 The Hacker News

Apa yang Harus Dilakukan

IBM tidak menyediakan workaround untuk server yang tidak dapat segera ditingkatkan. Satu-satunya perbaikan adalah upgrade ke Langflow 1.13.0, yang dirilis pada 22 Oktober 2026. Versi 1.12.8 yang dirilis hari yang sama masih mengandung celah. Langflow 1.13.0 menonaktifkan auto-login secara default. 🔗 IBM Security Bulletin

• Cadangkan basis data, kunci rahasia (secret key), dan berkas unggahan sebelum upgrade.
• Jika server menggunakan auto-login, siapkan akun yang ada untuk masuk dengan kata sandi seperti panduan upgrade Langflow.
• Upgrade paket Python: pip install --upgrade "langflow==1.13.0".
• Untuk Docker, gunakan image langflowai/langflow:1.13.0 dan pertahankan data persisten deployment.
• Batasi akses jaringan ke instans Langflow; jangan mengekspos endpoint MCP ke internet publik.
• Rotasi kunci API dan rahasia yang pernah disimpan pada instans yang berpotensi terdampak.

Fakta Kunci

• Produk terdampak: Langflow OSS versi 1.0.0 hingga 1.12.8.
• CVE-2026-93680 (CVSS 9,8): authentication bypass via default LANGFLOW_AUTO_LOGIN, CWE-287.
• CVE-2026-110186 (CVSS 9,8): improper control of code generation, RCE tanpa akun (termasuk via MCP), CWE-94.
• CVE-2026-110193 (CVSS 8,8) dan CVE-2026-110192 (CVSS 6,5): memerlukan akun berhak terbatas.
• Perbaikan: upgrade ke Langflow 1.13.0; tidak ada workaround resmi.
• Eksploitasi di alam liar: belum dilaporkan hingga 30 Oktober 2026, tetapi modul Metasploit publik untuk CVE-2026-93680 sudah tersedia.

Sumber

• 🔗 IBM Security Bulletin: Langflow OSS affected by multiple vulnerabilities
• 🔗 The Hacker News: Critical Langflow Flaws Could Let Unauthenticated Attackers Run Code on Servers
• 🔗 Ostorlab Blog: Langflow Auto-Login Superuser Bypass, RCE via MCP (CVE-2026-93680)
• 🔗 CVE.org: CVE-2026-93680
• 🔗 CVE.org: CVE-2026-110186