開源 AI 代理／工作流程開發平臺 Langflow 被揭露兩個 CVSS 9.8 的重大漏洞，攻擊者不需要帳號，就可能繞過身分驗證或在伺服器上執行任意程式碼。受影響範圍是 1.0.0 到 1.12.8 的所有版本，官方唯一的修補方式是升級到 1.13.0，沒有替代緩解措施。不少團隊用 Langflow 串接 LLM、RAG 與 MCP 工具，若把它直接開在網路上，現在就該處理。
事件經過
- 10/28：Langflow 的漏洞通報由 IBM 負責，IBM 發布資安公告，列出 4 個 Langflow 漏洞，10/29 更新（IBM Security Bulletin）。
- 11/2～11/3：The Hacker News、iThome 相繼報導，兩個重大漏洞皆為 CVSS 9.8，影響 1.0.0～1.12.8，修補版本為 1.13.0。
- 其中一個漏洞被 IBM 描述為「可透過 MCP（Model Context Protocol）工具列舉觸發的未驗證遠端程式碼執行」；另一個是「自動登入安全控制的修補不完整」。
重點
| CVE | CVSS（IBM） | 需要帳號？ | 可能造成的影響 |
|---|---|---|---|
| CVE-2026-93680 | 9.8 重大 | 不需要 | 身分驗證不當，可繞過安全限制 |
| CVE-2026-110186 | 9.8 重大 | 不需要 | 程式碼產生控制不當，可執行任意程式碼 |
| CVE-2026-110193 | 8.8 高 | 需要低權限帳號 | 讓 Agentic Assistant 產生／提交可執行作業系統指令的元件程式碼 |
| CVE-2026-110192 | 6.5 中 | 需要 | 憑證保護不足，可取得敏感資訊（如 API 金鑰） |
- 影響版本：Langflow OSS 1.0.0～1.12.8；修補版本：1.13.0（IBM、The Hacker News、iThome 一致）。
- 沒有暫時解法：IBM 公告的 Workarounds and Mitigations 欄位寫「None」。
- 自動登入是關鍵：據 The Hacker News，1.12.8 預設啟用
LANGFLOW_AUTO_LOGIN（會讓使用者不輸入密碼就以超級使用者身分登入），1.13 則改為預設關閉。 - 已有工具可掃描：據 The Hacker News，公開的 Metasploit 模組已引用 CVE-2026-93680，可在不需憑證的情況下連到 Langflow 的 MCP 端點並列出工具（該模組本身不執行指令）。截至 10/30 這兩個漏洞尚未列入 CISA KEV（單一來源，請發布前再確認）。
- 據 The Hacker News，IBM 另於 10/29 發布 29 個 Langflow 漏洞的 CVE 紀錄，修補版本為 1.12.4、1.12.5，其中 CVE-2026-104339 同樣是 9.8 分的未驗證 RCE（未核實，僅單一媒體整理）。
對你的實務建議
企業／IT 管理者、AI 開發團隊
- 先找出所有 Langflow：包含開發者自己在筆電、雲端 VM、Docker、Kubernetes 上架的測試環境；
pip show langflow或檢查容器映像標籤langflowai/langflow。 - 升級前先備份：備份資料庫、secret key 與上傳檔案（IBM 公告要求）。
- 升級到 1.13.0：
pip install --upgrade "langflow==1.13.0"，Docker 改用langflowai/langflow:1.13.0並保留持久化資料。 - 若原本使用自動登入：依官方升級說明先為既有帳號設定密碼登入；升級後登不進去，照官方復原步驟處理，不要刪除重裝，以免流程（flows）永久遺失。
- 不要把 Langflow、MCP 端點直接暴露在網際網路：放在 VPN 或反向代理加身分驗證之後，並限制來源 IP。
- 假設已經被看過：曾對外開放的 Langflow，請輪替其中存放的 LLM API 金鑰、資料庫密碼、雲端憑證，並檢查伺服器上是否有可疑程序、排程與新帳號。
- 把 AI 工具納入資產與弱點管理：Langflow、n8n、Flowise 這類「能執行程式碼的 AI 工作流程平臺」，等同一台應用伺服器，要比照一般系統做修補與監控。
一般用戶
- 自架 AI 工具也要更新：如果你在家用電腦或 NAS 上玩 Langflow 之類的 AI 工具，記得升級，而且不要為了手機遠端操作就把它開到網路上。
- API 金鑰要設用量上限：在 OpenAI、Anthropic、Google 等平台為金鑰設定預算上限與告警，萬一外洩不會被刷爆。
發表留言