IBM’in son güvenlik bültenine göre, yapay zeka ajanları ve iş akışları kurmak için kullanılan açık kaynak Langflow platformunda dört kritik açık bulundu. 1.0.0 ile 1.12.8 arasındaki tüm sürümler bu hatalardan etkileniyor; kalıcı düzeltme ise yalnızca 1.13.0 sürümünde yer alıyor. Açıkların bir kısmı kimlik doğrulaması olmadan uzaktan kod çalıştırmaya, bir kısmı da düşük yetkili hesap üzerinden sunucuda komut koşturmaya kadar uzanıyor.
IBM’in 28 Ekim’de yayımlayıp ertesi gün güncellediği kayıtta yer alan bulgular, Langflow sunucularını internete açık kullanan sistemleri hedef alıyor. Platform, bulgularını IBM’e bildiren projeler arasında bulunuyor ve Model Context Protocol (MCP) desteği nedeniyle akışlarını MCP uyumlu yapay zeka uygulamalarına araç olarak sunabiliyor. Bu yapı, saldırganların araç keşfi ve oturum başlatma üzerinden ilerlemesine kapı aralayabiliyor.
IBM’in listesinde dört CVE, iki tanesinde kimlik doğrulama gerekmiyor
Bültende yer alan açıklar şöyle sıralandı: CVE-2026-93680 için IBM 9.8 puanla kritik seviye verdi ve bu açıkta hesap gerekmiyor. Aynı şekilde CVE-2026-110186 da 9.8 puanla kritik değerlendirildi ve burada da kimlik doğrulaması gerekmiyor; IBM bu kusurun yanlış kontrol edilen kod üretimi nedeniyle keyfi kod çalıştırmaya yol açabileceğini belirtti.
Üçüncü açık CVE-2026-110193 için 8.8 puan verildi. Bu açıkta düşük yetkili bir hesap yeterli oluyor ve IBM’e göre Agentic Assistant, sunucuda işletim sistemi komutları çalıştıran bileşen kodunu üretmeye veya göndermeye zorlanabiliyor. Dördüncü kayıt olan CVE-2026-110192 ise 6.5 puanla orta seviyede sınıflandırıldı; burada da yetkisiz kişiler yeterince korunmayan kimlik bilgileri üzerinden hassas verilere erişebiliyor.
IBM, açıklarından birini “model context protocol tool enumeration” üzerinden istismar edilebilen kimlik doğrulamasız uzak kod çalıştırma olarak tanımladı. Metasploit Framework’teki bir modül de şimdiden CVE-2026-93680 için kayıt aldı. Bu modül, bir Langflow sunucusunun MCP uç noktasına herhangi bir kimlik bilgisi vermeden bağlanıyor, oturum açıyor ve sunucunun sunduğu araçları listeliyor. Ancak mevcut sürüm kod çalıştırmıyor, yalnızca keşif yapıyor.
Modülün yazarı, etkilenmiş sürümler için Langflow 1.5.0 ile 1.11.4 arasını işaret etti. Bu aralık IBM’in verdiği kapsamdan daha dar. IBM’in bülteninde yer alan başka bir notta, otomatik giriş açıkken Langflow’un kullanıcıyı giriş ekranı göstermeden süper kullanıcı olarak oturum açtırdığı aktarıldı. Langflow 1.12.8’de LANGFLOW_AUTO_LOGIN ayarı varsayılan olarak etkin geliyor; kod açıklamasında bu ayarın kimlik doğrulamayı atladığı ve yalnızca geliştirme ortamlarında kullanılmasının gerektiği yazıyor.
Metasploit modülü, otomatik giriş açık olan 1.8.4 sürümünde test edildi. IBM’e göre listedeki açıkların bir diğeri de otomatik giriş güvenlik denetiminin eksik biçimde giderilmesinden kaynaklanıyor. Ancak bülten, otomatik giriş kapalı sistemlerin bu kusurdan etkilenip etkilenmediğini belirtmiyor.
Langflow 1.13.0, 22 Ekim’de yayımlandı. Aynı gün çıkan 1.12.8 sürümü ise bu açıkları taşımaya devam etti ve PyPI üzerinde 2 Kasım itibarıyla daha yeni bir 1.12 sürümü görünmüyordu. IBM, henüz yükseltme yapamayan sistemler için bir geçici çözüm paylaşmadı.
Güncelleme yapılacaksa önce veritabanı, gizli anahtar ve yüklenmiş dosyaların yedeğinin alınması gerekiyor. Sistem otomatik giriş kullanıyorsa, mevcut hesabın parola ile giriş yapabilecek hale getirilmesi de Langflow’un yükseltme rehberinde yer alıyor. Python paketi için komut, `pip install –upgrade “langflow==1.13.0″`; Docker kullananlar içinse `langflowai/langflow:1.13.0` imajına geçiş ve kalıcı verilerin korunması öneriliyor.
IBM, 29 Ekim’de Langflow için 29 ek CVE kaydı daha yayımladı ve bunların düzeltmesi olarak 1.12.4 ile 1.12.5 sürümlerini gösterdi. Bu kayıtlar arasında yer alan CVE-2026-104339 da hesap gerektirmeden keyfi kod çalıştırmaya yol açabiliyor ve 9.8 puanla kritik sınıfta. IBM’in yayımladığı 33 kaydın hiçbirinde 1.13.0 etkilenmiş sürüm olarak yer almıyor.
Langflow’da açığın CVE numarasıyla takip edildiği kayıtlara NVD üzerinden de ulaşılabiliyor: https://nvd.nist.gov/vuln/detail/CVE-2026-93680, https://nvd.nist.gov/vuln/detail/CVE-2026-110186, https://nvd.nist.gov/vuln/detail/CVE-2026-110193, https://nvd.nist.gov/vuln/detail/CVE-2026-110192.