{"id":248,"date":"2026-06-20T08:00:00","date_gmt":"2026-06-20T08:00:00","guid":{"rendered":"https:\/\/shattered.io\/de\/2026\/06\/20\/langflow-cve-2026-33017-rce-ki-pipelines-2026\/"},"modified":"2026-06-20T08:00:00","modified_gmt":"2026-06-20T08:00:00","slug":"langflow-cve-2026-33017-rce-ki-pipelines-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/2026\/06\/20\/langflow-cve-2026-33017-rce-ki-pipelines-2026\/","title":{"rendered":"Langflow CVE-2026-33017: CVSS 9.3, KI-Pipelines in 20 Stunden kompromittiert [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Am 17. M\u00e4rz 2026 ver\u00f6ffentlichte das Langflow-Projekt eine Sicherheitswarnung, die in der KI-Entwicklergemeinschaft sofort Alarm ausl\u00f6ste. Die Schwachstelle CVE-2026-33017 erlaubt es unauthentifizierten Angreifern, beliebigen Python-Code auf jedem exponierten Langflow-Server auszuf\u00fchren, ohne ein Passwort, ohne ein Token, mit einem einzigen HTTP-POST-Request. Innerhalb von 20 Stunden nach der \u00f6ffentlichen Disclosure starteten die ersten Angreifer koordinierte Angriffswellen. Was als Nischenproblem f\u00fcr KI-Entwickler erschien, entpuppte sich als kritische Bedrohung f\u00fcr Unternehmensinfrastruktur weltweit, auch im DACH-Raum.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"was-ist-langflow-145-000-github-stars-globale-ki-infrastruktur\">Was ist Langflow: 145.000 GitHub-Stars, globale KI-Infrastruktur<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Langflow ist ein Open-Source-Framework zur visuellen Erstellung von KI-Agenten und Retrieval-Augmented-Generation-Pipelines (RAG). Entwickler ziehen Komponenten per Drag-and-Drop zusammen, verbinden Sprachmodelle mit Datenbanken, APIs und Vektorspeichern und exportieren fertige Workflows als API-Endpunkte. Mit \u00fcber 145.000 Sternen auf GitHub geh\u00f6rt Langflow zu den meistgenutzten Tools im Bereich KI-Anwendungsentwicklung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Unternehmen aller Branchen setzen Langflow f\u00fcr produktive KI-Dienste ein: von Fintech-Startups bis zu Konzernen aus dem verarbeitenden Gewerbe. Die Plattform integriert sich tief in die Infrastruktur. Sie speichert API-Schl\u00fcssel f\u00fcr OpenAI, Anthropic und andere Modellanbieter, verbindet sich mit Produktionsdatenbanken und l\u00e4uft h\u00e4ufig mit weitreichenden AWS- oder Azure-Berechtigungen. Genau diese Einbindung macht eine vollst\u00e4ndige Kompromittierung eines Langflow-Servers zum Worst-Case-Szenario f\u00fcr die betroffene Organisation.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Besonders im DACH-Raum ist die Verbreitung erheblich. Mittelstandsunternehmen, KI-Startups und Forschungseinrichtungen nutzen Langflow f\u00fcr interne Chatbots, Dokumentenanalyse und automatisierte Workflows, oft ohne dediziertes Security-Team und ohne regelm\u00e4\u00dfiges Patch-Management. Diese Kombination aus breiter Verbreitung und schwacher Absicherung erkl\u00e4rt, warum CVE-2026-33017 innerhalb von Stunden nach der Disclosure aktiv ausgenutzt wurde.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"cve-2026-33017-technische-details-der-schwachstelle\">CVE-2026-33017: Technische Details der Schwachstelle<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Schwachstelle steckt im Endpunkt <code>POST \/api\/v1\/build_public_tmp\/{flow_id}\/flow<\/code>. Dieser Endpunkt ist konzeptionell dazu gedacht, \u00f6ffentliche Flows ohne Authentifizierung aufzubauen, also eine gewollte Funktion f\u00fcr geteilte Demos und Chatbots. Das Problem liegt im optionalen Parameter <code>data<\/code>: Statt die gespeicherten Flow-Daten aus der Datenbank zu laden, akzeptiert der Endpunkt in der verwundbaren Version beliebige Flow-Definitionen vom Angreifer, inklusive beliebigem Python-Code in den Node-Definitionen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dieser Code wird direkt an Pythons <code>exec()<\/code>-Funktion \u00fcbergeben, ohne jegliches Sandboxing, ohne Whitelisting, ohne Eingabevalidierung. Das Ergebnis ist Remote Code Execution mit den Rechten des Langflow-Serverprozesses, typischerweise weitreichende System-Rechte. F\u00fcr den Angriff braucht ein Angreifer lediglich die UUID eines \u00f6ffentlichen Flows auf der Zielinstanz. Diese l\u00e4sst sich aus geteilten Links oder direkten URL-Scans ermitteln.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Schwachstelle wurde am 26. Februar 2026 vom unabh\u00e4ngigen Sicherheitsforscher <strong>Aviral Srivastava<\/strong> entdeckt. Srivastava fand sie durch Analyse der Code-Diffs eines vorangegangenen Patches, eine Methode, die strukturell \u00e4hnliche Schwachstellen in benachbarten Code-Pfaden aufdeckt. Nach koordinierter Responsible-Disclosure-Phase erschien die \u00f6ffentliche Advisory am 17. M\u00e4rz 2026.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Eigenschaft<\/th><th>Detail<\/th><\/tr><\/thead><tbody><tr><td>CVE-Nummer<\/td><td>CVE-2026-33017<\/td><\/tr><tr><td>CVSS v4.0 Score (NVD)<\/td><td>9.3 (kritisch)<\/td><\/tr><tr><td>CVSS Score (JFrog)<\/td><td>9.8 (kritisch)<\/td><\/tr><tr><td>Angriffsvektor<\/td><td>Netzwerk (AV:N)<\/td><\/tr><tr><td>Authentifizierung<\/td><td>Keine (PR:N, UI:N)<\/td><\/tr><tr><td>Angriffstyp<\/td><td>Code Injection via Python exec()<\/td><\/tr><tr><td>CWE<\/td><td>CWE-94 (Code Injection)<\/td><\/tr><tr><td>Betroffener Endpunkt<\/td><td>POST \/api\/v1\/build_public_tmp\/{flow_id}\/flow<\/td><\/tr><tr><td>Betroffene Versionen<\/td><td>Alle Versionen vor 1.9.0<\/td><\/tr><tr><td>Patch-Version<\/td><td>Langflow 1.9.0<\/td><\/tr><tr><td>Entdeckt<\/td><td>26. Februar 2026 (Aviral Srivastava)<\/td><\/tr><tr><td>\u00d6ffentliche Disclosure<\/td><td>17. M\u00e4rz 2026<\/td><\/tr><tr><td>Erster Exploit beobachtet<\/td><td>ca. 20 Stunden nach Disclosure<\/td><\/tr><tr><td>CISA KEV aufgenommen<\/td><td>M\u00e4rz 2026<\/td><\/tr><tr><td>Beh\u00f6rden-Patch-Deadline (USA)<\/td><td>8. April 2026<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"angriffsverlauf-20-stunden-von-der-advisory-bis-zum-ersten-exploit\">Angriffsverlauf: 20 Stunden von der Advisory bis zum ersten Exploit<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Das Sysdig Threat Research Team dokumentierte den Angriffsverlauf mit forensischer Pr\u00e4zision. Am 17. M\u00e4rz 2026 erschien die \u00f6ffentliche Advisory f\u00fcr CVE-2026-33017. Kein \u00f6ffentliches Proof-of-Concept war zu diesem Zeitpunkt verf\u00fcgbar. Dennoch begannen Angreifer bereits rund 20 Stunden nach der Ver\u00f6ffentlichung mit der aktiven Ausnutzung der Schwachstelle.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">&#8220;Der Zeitraum zwischen der Advisory-Ver\u00f6ffentlichung und dem ersten beobachteten Exploit-Versuch betrug ungef\u00e4hr 20 Stunden&#8221;, stellte das Sysdig Threat Research Team in seiner Analyse fest. &#8220;Angreifer m\u00fcssen keinen fertigen Exploit-Code aus einem \u00f6ffentlichen Repository kopieren. Sie lesen die Advisory selbst und leiten den Angriff direkt ab, da der Mechanismus trivial verst\u00e4ndlich ist.&#8221; Tats\u00e4chlich ist der Angriff minimal: Ein einziger HTTP-POST-Request mit einem JSON-Payload, der Python-Code in einer Node-Definition versteckt, reicht aus.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Forscher von Endor Labs testeten 15 Langflow-Instanzen aus dem \u00f6ffentlichen Internet. Alle 15 erwiesen sich als verwundbar. Remote Code Execution war in drei unabh\u00e4ngigen Testl\u00e4ufen reproduzierbar, mit einer Erfolgsquote von 100 Prozent. Der eigentliche Exploit-Code umfasst weniger als 10 Zeilen. Die Angriffsphase verlief nach dokumentierten Beobachtungen in drei Phasen: Reconnaissance (Identifikation \u00f6ffentlicher Flows), Exploitation (Ausf\u00fchrung beliebigen Python-Codes) und Exfiltration (Abruf gespeicherter Secrets).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Besonders alarmierend: Der Angriff erfolgte ohne jegliche Spuren in Anwendungs-Logs, da der Endpunkt by Design keine Authentifizierung erfordert und der Zugriff als legitimer \u00f6ffentlicher Flow-Aufruf erscheint. Forensisch ist ein solcher Angriff ohne spezialisiertes Monitoring kaum nachweisbar.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"was-angreifer-stehlen-openai-schluessel-aws-credentials-datenbankpasswoerter\">Was Angreifer stehlen: OpenAI-Schl\u00fcssel, AWS-Credentials, Datenbankpassw\u00f6rter<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Sobald ein Angreifer Code auf einem Langflow-Server ausf\u00fchren kann, ist der Zugriff auf alle gespeicherten Geheimnisse trivial. Das Cloud Security Alliance (CSA) Lab dokumentierte drei Hauptkategorien gestohlener Daten aus beobachteten Angriffen: API-Schl\u00fcssel f\u00fcr KI-Modellanbieter (prim\u00e4r OpenAI und Anthropic), Cloud-Provider-Credentials (haupts\u00e4chlich AWS Access Keys und Secret Keys) sowie Datenbankpassw\u00f6rter f\u00fcr Produktionsdatenbanken, die in Langflow-Workflows eingebunden sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das CSA Research Lab fasste in seiner Analyse zusammen: &#8220;CVE-2026-33017 ist Teil eines gr\u00f6\u00dferen, systemischen Musters unsicherer Code-Execution-Designs in Langflow. Die Plattform sammelt by Design KI-Provider-Secrets und Cloud-Credentials an einem zentralen Punkt. Ein einziger kompromittierter Server gibt Angreifern Zugang zur vollst\u00e4ndigen KI-Infrastruktur einer Organisation.&#8221; Diese Einsch\u00e4tzung erkl\u00e4rt, warum CISA die Schwachstelle als besonders kritisch einstufte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Endor Labs beschrieb den m\u00f6glichen Schadenumfang konkret: &#8220;Der Impact umfasst unauthentifizierte Remote Code Execution mit vollst\u00e4ndigen Server-Prozessrechten, komplette Server-Kompromittierung mit Zugriff auf beliebige Dateien und Befehle, Exfiltration von Umgebungsvariablen inklusive API-Schl\u00fcsseln, Datenbank-Credentials und Cloud-Tokens sowie Reverse-Shell-Zugang f\u00fcr persistenten Zugriff und laterale Bewegung im Netzwerk.&#8221;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr DACH-Unternehmen bedeutet der Diebstahl von OpenAI- oder Anthropic-API-Schl\u00fcsseln zun\u00e4chst finanzielle Sch\u00e4den durch missbr\u00e4uchliche Nutzung des gestohlenen API-Zugangs. Gestohlene AWS-Credentials \u00f6ffnen potenziell T\u00fcren zu S3-Buckets mit Kundendaten, zu weiteren internen Services und zu ganzen Cloud-Infrastrukturen. Im Kontext der DSGVO kann ein solcher Vorfall Meldepflichten ausl\u00f6sen und erhebliche Bu\u00dfgelder nach sich ziehen. Unter dem KRITIS-Dachgesetz 2026 versch\u00e4rfen sich diese Anforderungen weiter.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"die-falsche-sicherheit-version-1-8-2-bleibt-verwundbar\">Die falsche Sicherheit: Version 1.8.2 bleibt verwundbar<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Einer der gravierendsten Aspekte dieser Schwachstelle ist die Diskrepanz zwischen kommuniziertem und tats\u00e4chlichem Sicherheitsstatus. Als die Advisory am 17. M\u00e4rz erschien, behaupteten zahlreiche \u00f6ffentliche Quellen, Version 1.8.2 sei bereits gepatcht. Das JFrog Security Research Team lie\u00df dies nicht ungepr\u00fcft stehen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">JFrog-Forscher verifizierten mit einem \u00f6ffentlichen Proof-of-Concept, dass Version 1.8.2 weiterhin vollst\u00e4ndig f\u00fcr CVE-2026-33017 anf\u00e4llig ist. Sowohl das PyPI-Paket als auch das offizielle Docker-Image von 1.8.2 blieben ausnutzbar. &#8220;Wir haben einen gef\u00e4hrlichen Graben zwischen wahrgenommener und tats\u00e4chlicher Sicherheit identifiziert&#8221;, schrieb das JFrog Security Research Team. &#8220;Organisationen, die nach dem Advisory sofort auf 1.8.2 upgradeten und sich sicher w\u00e4hnten, waren es nicht. Die tats\u00e4chlich sichere Version ist 1.9.0.&#8221; JFrog alarmierte daraufhin die Maintainer, die den GitHub Advisory Database-Eintrag korrigierten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Situation schuf ein besonders gef\u00e4hrliches Zeitfenster. Sicherheitsverantwortliche, die die Empfehlung auf 1.8.2 zu upgraden befolgten, glaubten, gesch\u00fctzt zu sein, waren aber weiterhin exponiert. JFrog empfahl zwischenzeitlich, Langflow komplett zu deinstallieren und stattdessen den Nightly-Build zu installieren, bis 1.9.0 offiziell verf\u00fcgbar war. F\u00fcr DACH-Unternehmen unterstreicht dieser Vorfall die Notwendigkeit, Security-Advisories kritisch zu pr\u00fcfen und sich nicht ausschlie\u00dflich auf erste Patch-Empfehlungen zu verlassen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"cisa-kev-bundesbehoerden-mit-patch-deadline-8-april-2026\">CISA KEV: Bundesbeh\u00f6rden mit Patch-Deadline 8. April 2026<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die amerikanische Cybersicherheitsbeh\u00f6rde CISA (Cybersecurity and Infrastructure Security Agency) nahm CVE-2026-33017 innerhalb weniger Tage nach der Disclosure in den Known Exploited Vulnerabilities (KEV) Catalog auf. Der KEV Catalog listet ausschlie\u00dflich Schwachstellen, f\u00fcr die aktive Ausnutzung in freier Wildbahn best\u00e4tigt ist. Die Aufnahme in diesen Catalog verpflichtet US-Bundesbeh\u00f6rden zum Patchen bis zum Stichtag: 8. April 2026.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr DACH-Unternehmen ist die KEV-Aufnahme kein direktes regulatorisches Instrument, wohl aber ein unmissverst\u00e4ndliches Signal: Diese Schwachstelle wird aktiv ausgenutzt, und Beh\u00f6rden der gr\u00f6\u00dften Volkswirtschaft der Welt priorisieren den Patch als Notfallma\u00dfnahme. Unter den Rahmenbedingungen von NIS-2 und dem KRITIS-Dachgesetz 2026 sollten Betreiber kritischer Infrastrukturen Langflow-Instanzen mit dem gleichen Zeitdruck behandeln.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Langflow hatte bereits eine Vorgeschichte mit CISA: Die Schwachstelle CVE-2025-3248 aus dem Vorjahr war ebenfalls in den KEV Catalog aufgenommen worden. Damit ist Langflow eine der wenigen Open-Source-Plattformen, die innerhalb von 12 Monaten zweimal auf der KEV-Liste landete, ein historisch seltenes Ereignis, das die strukturellen Sicherheitsprobleme der Plattform verdeutlicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"systemisches-muster-vierter-rce-exploit-in-langflow-seit-2025\">Systemisches Muster: Vierter RCE-Exploit in Langflow seit 2025<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">CVE-2026-33017 ist keine isolierte Schwachstelle, sondern Teil eines systemischen Musters. Seit 2025 hat Langflow mindestens vier Remote-Code-Execution-Klassen-Schwachstellen akkumuliert. Die wiederkehrende Verwendung von Pythons <code>exec()<\/code> ohne Sandboxing, fehlende Authentifizierung an \u00f6ffentlich zug\u00e4nglichen Endpunkten und unzureichende Eingabevalidierung ziehen sich durch die gesamte Codebase.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Muster erkl\u00e4rt sich durch die Architektur: Langflow ist ein Rapid-Development-Tool, das Flexibilit\u00e4t \u00fcber Sicherheit stellt. Die visuelle Drag-and-Drop-Oberfl\u00e4che erfordert die F\u00e4higkeit, beliebigen Code zur Laufzeit auszuf\u00fchren. Das ist by Design so, und genau diese Design-Entscheidung wird wiederholt zur Sicherheitsl\u00fccke. SentinelOne formulierte die Kernproblematik direkt: &#8220;Die Schwachstelle repr\u00e4sentiert einen kritischen Code-Injection-Fehler in Langflows Public-Flow-Building-Funktionalit\u00e4t. Das Angriffsmuster ist netzwerkbasiert und erfordert weder Authentifizierung noch Benutzerinteraktion.&#8221;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Srivastava betonte in seiner Disclosure-Dokumentation: &#8220;Ich fand CVE-2026-33017, indem ich die Code-Diffs eines vorangegangenen Patches analysierte. Das ist ein klassisches Muster: Wenn ein Fix f\u00fcr einen unsicheren Mechanismus unvollst\u00e4ndig ist, bleibt derselbe Mechanismus in benachbarten Code-Pfaden h\u00e4ufig unangetastet. Die eigentliche Ursache ist nicht ein einmaliger Fehler, sondern eine Design-Entscheidung, die sich durch die gesamte Codebase zieht.&#8221;<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>CVE<\/th><th>CVSS<\/th><th>Typ<\/th><th>Jahr<\/th><th>CISA KEV<\/th><th>Betroffene Version<\/th><th>Patch<\/th><\/tr><\/thead><tbody><tr><td>CVE-2025-3248<\/td><td>9.8<\/td><td>Unauthentifiziertes RCE<\/td><td>2025<\/td><td>Ja<\/td><td>Vor 1.2.0<\/td><td>1.2.0<\/td><\/tr><tr><td>CVE-2026-33017<\/td><td>9.3 (NVD) \/ 9.8 (JFrog)<\/td><td>Code Injection via exec()<\/td><td>2026<\/td><td>Ja<\/td><td>Vor 1.9.0<\/td><td>1.9.0<\/td><\/tr><tr><td>Weitere RCE-Klassen (2025-2026)<\/td><td>Variiert<\/td><td>exec()-basiert<\/td><td>2025-2026<\/td><td>Teilweise<\/td><td>Verschiedene<\/td><td>Verschiedene<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"auswirkungen-auf-dach-unternehmen-ki-infrastruktur-im-visier\">Auswirkungen auf DACH-Unternehmen: KI-Infrastruktur im Visier<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der DACH-Raum ist von CVE-2026-33017 in mehrfacher Hinsicht betroffen. Viele deutsche und \u00f6sterreichische KI-Projekte setzen Langflow ein, da die Plattform keine tiefen Programmierkenntnisse voraussetzt und sich ideal f\u00fcr Proof-of-Concept-Projekte und interne KI-Assistenten eignet. Besonders Mittelstandsunternehmen, die ohne gro\u00dfe Sicherheitsabteilung KI-L\u00f6sungen aufbauen, betreiben Langflow h\u00e4ufig mit minimaler Absicherung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das regulatorische Umfeld im DACH-Raum versch\u00e4rft die Konsequenzen zus\u00e4tzlich. Das KRITIS-Dachgesetz 2026 mit Bu\u00dfgeldern bis zu einer Million Euro und die NIS-2-Umsetzung in Deutschland mit Strafen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes stellen hohe Anforderungen an das Patch-Management. Ein ungepatchtes Langflow-System mit bekannter CISA-KEV-Schwachstelle w\u00e4re bei einem Vorfall gegen\u00fcber Aufsichtsbeh\u00f6rden kaum zu rechtfertigen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Chambers-Cybersecurity-Analyse f\u00fcr Deutschland 2026 zeigt zudem, dass professionelle Angreifer ihre Zeitpunkte bewusst auf kritische Betriebsphasen ausrichten: Produktionsspitzen, regulatorische Meldestichtage oder M&#038;A-Transaktionen. KI-Infrastruktur als neues Angriffsziel passt in dieses Muster. Unternehmen, die KI-Dienste produktiv einsetzen, sind auf deren Verf\u00fcgbarkeit angewiesen und damit besonders erpressbar.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"patch-strategie-sofortmassnahmen-und-mittelfristiger-schutz\">Patch-Strategie: Sofortma\u00dfnahmen und mittelfristiger Schutz<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die h\u00f6chste Priorit\u00e4t hat das Upgrade auf Langflow 1.9.0 oder eine neuere Version. Wer noch auf einer Version unter 1.9.0 l\u00e4uft, muss davon ausgehen, bereits angegriffen worden zu sein, und alle gespeicherten Secrets als kompromittiert behandeln. Das bedeutet konkret: Rotation aller OpenAI-API-Schl\u00fcssel, aller Anthropic-API-Schl\u00fcssel, aller AWS-Credentials und aller Datenbankpassw\u00f6rter, die in der Langflow-Instanz gespeichert oder verwendet wurden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Endor Labs empfiehlt: &#8220;Behandeln Sie alle auf Langflow-Instanzen gespeicherten Umgebungsvariablen, inklusive API-Schl\u00fcssel, Datenbank-Credentials und Cloud-Tokens, als vollst\u00e4ndig kompromittiert, sobald eine anf\u00e4llige Version im Einsatz war.&#8221; Wer einen Angriff vermutet, sollte Cloud-Provider-Logs auf ungew\u00f6hnliche API-Aufrufe pr\u00fcfen (AWS CloudTrail, Azure Activity Log) sowie Server-Logs auf POST-Requests an <code>\/api\/v1\/build_public_tmp\/<\/code> mit ungew\u00f6hnlich gro\u00dfen JSON-Payloads.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Kurzfristig, falls ein sofortiges Upgrade nicht m\u00f6glich ist: Netzwerkzugang zur Langflow-Instanz einschr\u00e4nken. Kein Langflow-Server sollte aus dem offenen Internet erreichbar sein. VPN-Zugang oder IP-Whitelisting reduzieren die Angriffsfl\u00e4che erheblich. Mittelfristig sollten Organisationen bewerten, ob Langflow f\u00fcr sicherheitskritische Produktionsumgebungen das richtige Tool ist. Alternativen mit strikterem Sandboxing-Mechanismus bieten in produktiven Umgebungen mehr Kontrolle.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"ki-framework-sicherheit-2026-der-breitere-kontext\">KI-Framework-Sicherheit 2026: Der breitere Kontext<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">CVE-2026-33017 steht nicht allein. Der M\u00e4rz 2026 brachte mehrere schwerwiegende Schwachstellen in KI-naher Infrastruktur, was den Trend unterstreicht, dass KI-Frameworks als Angriffsziel zunehmend attraktiv werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ein autonomer KI-Bot kompromittierte im M\u00e4rz 2026 GitHub-Actions-Workflows bei Microsoft, DataDog, Aqua Security und der Cloud Native Computing Foundation (CNCF). Der Bot erreichte Remote Code Execution in f\u00fcnf von sieben Zielen und l\u00f6schte das Aqua-Security-Repository Trivy mit \u00fcber 32.000 GitHub-Stars vollst\u00e4ndig. Im Mai 2026 offenbarte CVE-2026-28879 eine Zero-Day-Schwachstelle in Gogs, die unauthentifizierte Remote Code Execution auf selbst gehosteten Git-Instanzen erm\u00f6glichte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Muster ist deutlich: KI-Infrastruktur und Entwicklerwerkzeuge werden systematisch als Angriffsziel erschlossen. Sie verbinden drei f\u00fcr Angreifer attraktive Eigenschaften: breite Verbreitung in Unternehmensumgebungen, tiefe Integration in sensible Infrastruktur und historisch geringere Sicherheitsreife verglichen mit klassischen Enterprise-Softwarekategorien.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"5-prognosen-ki-framework-sicherheit-bis-ende-2026\">5 Prognosen: KI-Framework-Sicherheit bis Ende 2026<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>1. KI-Frameworks werden zum Top-3-Angriffsziel 2026.<\/strong> Die Kombination aus breiter Verbreitung, tiefer Integration in Unternehmensinfrastruktur und historisch schwachem Sicherheitsfokus macht KI-Frameworks attraktiver als klassische Web-Applikationen f\u00fcr gezielte Angriffe. Weitere kritische RCE-Schwachstellen in popul\u00e4ren KI-Frameworks sind bis Q4 2026 zu erwarten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>2. CISA erweitert KEV-Fokus auf KI-Infrastruktur.<\/strong> Nach CVE-2025-3248 und CVE-2026-33017 ist Langflow zweifacher KEV-Kandidat. CISA wird seinen Scope auf KI-spezifische Frameworks ausweiten und eine dedizierte KI-Sicherheits-Guidance f\u00fcr Bundesbeh\u00f6rden herausgeben.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>3. Regulatorischer Druck auf KI-Framework-Anbieter w\u00e4chst im DACH-Raum.<\/strong> Das KRITIS-Dachgesetz und die NIS-2-Umsetzung werden dazu f\u00fchren, dass Unternehmen vertragliche Sicherheitsanforderungen an Open-Source-Tools formulieren. Tools mit wiederkehrenden kritischen CVEs werden aus Compliance-Gr\u00fcnden in kritischen Infrastrukturen gemieden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>4. Langflow f\u00fchrt Sandboxing ein oder verliert Marktanteile.<\/strong> Der Druck durch wiederholt kritische CVEs und die CISA-KEV-Eintr\u00e4ge wird das Langflow-Projekt zwingen, grundlegende Architektur\u00e4nderungen vorzunehmen. Andernfalls werden Enterprise-Organisationen auf sichere Alternativen wechseln.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>5. Secret-Scanning wird Standard f\u00fcr KI-Pipeline-Deployments.<\/strong> Die Tatsache, dass Angreifer prim\u00e4r API-Keys und Credentials stehlen, wird dazu f\u00fchren, dass Secrets-Management-L\u00f6sungen und automatisches Secret-Scanning st\u00e4rker in KI-Deployment-Pipelines integriert werden. Secrets in Umgebungsvariablen ohne Rotation werden als inakzeptables Risiko eingestuft.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"verwandte-berichterstattung-auf-shattered-io\">Verwandte Berichterstattung auf shattered.io<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"\/de\/veeam-backup-rce-kritisch-cisa-kev-2026\/\">Veeam Backup RCE: CVSS 9.9, 4x auf CISA KEV [2026]<\/a><\/li>\n<li><a href=\"\/de\/kritis-dachgesetz-2026\/\">KRITIS-Dachgesetz 2026: 1 Mio. Euro Bu\u00dfgeld, 17. Juli Deadline<\/a><\/li>\n<li><a href=\"\/de\/nis2-umsetzungsgesetz-deutschland-2026\/\">NIS-2 Deutschland: 29.500 Firmen, 10 Mio. Euro Strafe<\/a><\/li>\n<li><a href=\"\/de\/operation-endgame-europol-bka-2026\/\">Operation Endgame: 3 Phasen, 1.425+ Server, 21 Mio. Euro<\/a><\/li>\n<li><a href=\"\/de\/crowdstrike-global-threat-report-2026\/\">CrowdStrike 2026: Angriff in 27 Sekunden, KI-Attacken +89 %<\/a><\/li>\n<li><a href=\"\/security\/\">Security Pillar: Alle CVE- und Breach-Analysen<\/a><\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"haeufig-gestellte-fragen-zu-cve-2026-33017\">Haeufig gestellte Fragen zu CVE-2026-33017<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-langflow-version-behebt-cve-2026-33017-tatsaechlich\">Welche Langflow-Version behebt CVE-2026-33017 tatsaechlich?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ausschlie\u00dflich Langflow 1.9.0 behebt die Schwachstelle vollst\u00e4ndig. Version 1.8.2 wurde zun\u00e4chst f\u00e4lschlicherweise als Patch kommuniziert, ist aber nach Verifikation durch JFrog Security Research weiterhin anf\u00e4llig. Alle Versionen unter 1.9.0 sind verwundbar. Das Upgrade auf 1.9.0 oder h\u00f6her ist die einzige sichere Mitigation.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"bin-ich-betroffen-wenn-ich-langflow-nur-intern-nutze\">Bin ich betroffen, wenn ich Langflow nur intern nutze?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Bedingt ja. Der verwundbare Endpunkt ist standardm\u00e4\u00dfig aktiv und erfordert nur Netzwerkzugang zur Langflow-Instanz. Interne Deployments ohne Internet-Exposure sind weniger gef\u00e4hrdet, aber nicht immun: Angreifer mit initialem Netzwerkzugang k\u00f6nnen die Schwachstelle zur Privilege Escalation und lateralen Bewegung nutzen. Das Upgrade auf 1.9.0 ist auch f\u00fcr intern betriebene Instanzen obligatorisch.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-meldepflichten-entstehen-bei-einem-langflow-breach-in-deutschland\">Welche Meldepflichten entstehen bei einem Langflow-Breach in Deutschland?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Unter der DSGVO gilt eine 72-Stunden-Meldepflicht an die zust\u00e4ndige Datenschutzbeh\u00f6rde, wenn personenbezogene Daten betroffen sind. Bei KRITIS-Betreibern greift zus\u00e4tzlich das KRITIS-Dachgesetz mit eigenst\u00e4ndigen Meldepflichten. Unter NIS-2 m\u00fcssen erhebliche Sicherheitsvorf\u00e4lle innerhalb von 24 Stunden initial und innerhalb von 72 Stunden mit einem vollst\u00e4ndigen Bericht gemeldet werden. Konsultieren Sie umgehend Ihren Datenschutzbeauftragten und einen auf Cybersicherheitsrecht spezialisierten Anwalt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-bedeutet-cisa-kev-fuer-deutsche-unternehmen\">Was bedeutet CISA KEV f\u00fcr deutsche Unternehmen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die CISA KEV ist prim\u00e4r ein US-Beh\u00f6rden-Instrument ohne direkte rechtliche Bindung f\u00fcr deutsche Unternehmen. Sie gilt jedoch als verl\u00e4sslicher Indikator f\u00fcr aktive Ausnutzung in freier Wildbahn. Unter NIS-2 und dem KRITIS-Dachgesetz sollten KEV-Eintr\u00e4ge als verbindliche Priorisierungshilfe behandelt werden: Eine KEV-gelistete Schwachstelle in eingesetzter Software verlangt sofortige Patch-Aktion.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-erkenne-ich-ob-meine-instanz-bereits-kompromittiert-wurde\">Wie erkenne ich, ob meine Instanz bereits kompromittiert wurde?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Pr\u00fcfen Sie Server-Logs auf POST-Requests an <code>\/api\/v1\/build_public_tmp\/<\/code> mit ungew\u00f6hnlich gro\u00dfen JSON-Payloads. Pr\u00fcfen Sie Cloud-Provider-Logs (AWS CloudTrail, Azure Activity Log) auf ungew\u00f6hnliche API-Aufrufe mit Ihren gespeicherten Credentials. Wenn nicht mit Sicherheit ausgeschlossen werden kann, dass eine anf\u00e4llige Version im Einsatz war, behandeln Sie alle Secrets als kompromittiert und rotieren Sie sie sofort.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-sicheren-alternativen-zu-langflow-gibt-es\">Welche sicheren Alternativen zu Langflow gibt es?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr produktionskritische Umgebungen mit strikten Sicherheitsanforderungen bieten sich n8n (Self-hosted Workflow-Automatisierung mit strikterem Sandboxing), Apache Airflow (etablierte Workflow-Orchestrierung mit Enterprise-Sicherheitsfokus) oder direkte Python-Implementierungen mit LangChain und striktem Secrets-Management an. F\u00fcr reine Prototyping-Umgebungen ohne Internet-Exposure und ohne sensible Credentials bleibt Langflow nach dem Patch auf 1.9.0 eine Option.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Externe Quellen:<\/strong> <a href=\"https:\/\/www.sysdig.com\/blog\/cve-2026-33017-how-attackers-compromised-langflow-ai-pipelines-in-20-hours\" rel=\"nofollow noopener\" target=\"_blank\">Sysdig Threat Research: CVE-2026-33017<\/a> | <a href=\"https:\/\/research.jfrog.com\/post\/langflow-latest-version-was-not-fixed\/\" rel=\"nofollow noopener\" target=\"_blank\">JFrog: Langflow 1.8.2 weiterhin anf\u00e4llig<\/a> | <a href=\"https:\/\/labs.cloudsecurityalliance.org\/research\/csa-research-note-langflow-cve-2026-33017-ai-pipeline-exploi\/\" rel=\"nofollow noopener\" target=\"_blank\">CSA Research Note: CVE-2026-33017<\/a> | <a href=\"https:\/\/www.sentinelone.com\/vulnerability-database\/cve-2026-33017\/\" rel=\"nofollow noopener\" target=\"_blank\">SentinelOne Vulnerability Database<\/a> | <a href=\"https:\/\/www.endorlabs.com\/vulnerability\/cve-2026-33017\" rel=\"nofollow noopener\" target=\"_blank\">Endor Labs: CVE-2026-33017 Impact<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Am 17. M\u00e4rz 2026 ver\u00f6ffentlichte das Langflow-Projekt eine Sicherheitswarnung, die in der KI-Entwicklergemeinschaft sofort Alarm ausl\u00f6ste. Die Schwachstelle CVE-2026-33017 erlaubt es unauthentifizierten Angreifern, beliebigen Python-Code auf jedem exponierten Langflow-Server auszuf\u00fchren,\u2026<\/p>\n","protected":false},"author":8,"featured_media":249,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-248","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/248","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/comments?post=248"}],"version-history":[{"count":0,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/248\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media\/249"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media?parent=248"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/categories?post=248"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/tags?post=248"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}