SecBoard
Zurück zur Übersicht
Kritisch90 / 100Konfidenz: Hoch
In CISA KEVCVSS9.8EPSS99 %Über Netz erreichbarOhne Anmeldung

Betroffene Systeme umgehend patchen.

▸Herleitung der Bewertung(6)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-9198, CVE-2026-34486, CVE-2026-18556, CVE-2026-18577, CVE-2026-33017, CVE-2026-39987, CVE-2026-33824, CVE-2026-41940+25
  • Hoechster CVSS-Basiswert 9.8+18
  • EPSS 98.5 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
  • Hinweis auf verfuegbaren Angriffscode: proof-of-concept, weaponized+10
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-9198, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • 4 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-3055

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

CISA Flags Langflow RCE, Tomcat, and N-central Flaws as Actively Exploited

The Hacker News·
Originalartikel lesen bei The Hacker News

hat drei kritische Schwachstellen, darunter eine Langflow RCE-Lücke (CVE-2026-9198), in ihren KEV-Katalog aufgenommen, da sie aktiv ausgenutzt werden. Betroffen sind Unternehmen und Nutzer der entsprechenden Software. Es wird dringend empfohlen, die Systeme umgehend zu patchen, um Angriffe zu verhindern.

SecBoard-Einordnung

Die Langflow-Schwachstelle (CVE-2026-9198) ermöglicht nicht authentifizierten Angreifern die Remote-Code-Ausführung, was zu einer vollständigen Systemkompromittierung führen kann.

Realistisch schlimmster Fall: Ein nicht authentifizierter Angreifer könnte die Kontrolle über Systeme erlangen, auf denen Langflow läuft, und beliebigen Code ausführen, was zu Datenexfiltration, Systemausfällen oder der Installation weiterer Malware führen könnte.

Im erfassten Bestand

  • ▸9. erfasste Meldung zu Cobalt Strike innerhalb von 90 Tagen.
  • ▸CVE-2026-18577 kommt damit in 10 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-41940CISA KEV
CVSS
9.8 · CRITICAL
EPSS
98.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-04-30
Patch
unbekannt
Zuweisende CNA
disclosure@vulncheck.com
CVE-2026-39987CISA KEV
CVSS
9.8 · CRITICAL
EPSS
37.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-04-23
Patch
unbekannt
CVE-2026-9198CISA KEV
CVSS
9.8 · CRITICAL
EPSS
28.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-04
Patch
unbekannt
Zuweisende CNA
psirt@us.ibm.com
CVE-2026-33017CISA KEV
CVSS
9.8 · CRITICAL
EPSS
24.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-03-25
Patch
1.9.0
CVE-2026-33824CISA KEV
CVSS
9.8 · CRITICAL
EPSS
1.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-18
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com
CVE-2026-18577CISA KEV
CVSS
8.1 · HIGH
EPSS
14.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-03
Patch
unbekannt
CVE-2026-34486CISA KEV
CVSS
7.5 · HIGH
EPSS
6.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
im KEV seit
2026-08-04
Patch
11.0.21
Zuweisende CNA
security@apache.org
CVE-2026-18556CISA KEV
CVSS
7.4 · HIGH
EPSS
7.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität
im KEV seit
2026-08-04
Patch
unbekannt
CVE-2026-3055

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Unternehmen und Nutzer der Langflow-Software.

Hersteller

ApacheCpanelIBMLangflowMarimoMicrosoftN-ableRedhatWebPros

Produkte

cPanel & WHM and WP2 (WordPress Squared)Internet Key Exchange (IKE) Service ExtensionsLangflowLangflowMarimoN-centralTomcat3 VersionenCpanelEnterprise Linux3 VersionenEnterprise Linux ElsEnterprise Linux EusEnterprise Linux Tus+14 weitere
▸ CPE-Rohbezeichner anzeigen (38)
  • cpe:2.3:a:apache:tomcat:10.1.53:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:tomcat:11.0.20:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:tomcat:9.0.116:*:*:*:*:*:*:*
  • cpe:2.3:a:cpanel:cpanel:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cpanel:whm:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cpanel:wp_squared:*:*:*:*:*:wordpress:*:*
  • cpe:2.3:a:langflow:langflow:*:*:*:*:*:*:*:*
  • cpe:2.3:a:redhat:jboss_web_server:7.0.0:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_server_2016:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:10.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:9.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_els:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_eus:10.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_tus:8.8:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_update_services_for_sap_solutions:8.8:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_update_services_for_sap_solutions:9.2:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_update_services_for_sap_solutions:9.4:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_update_services_for_sap_solutions:9.6:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob Langflow in Ihrer Umgebung eingesetzt wird und welche Versionen installiert sind.
  • ▸Stellen Sie sicher, dass alle Langflow-Instanzen auf die neueste, gepatchte Version aktualisiert wurden.
▸ 1 weitere
  • ▸Überwachen Sie Netzwerkverkehr und Systemprotokolle auf ungewöhnliche Aktivitäten oder Code-Ausführungen im Zusammenhang mit Langflow-Diensten.

Offene Punkte

3
▸ anzeigen
  • ▸Spezifische Versionen von Langflow, die von CVE-2026-9198 betroffen sind, werden nicht genannt.
  • ▸Details zu den anderen beiden von CISA genannten Schwachstellen (Tomcat und N-central) sind im Artikel nicht enthalten.
  • ▸Informationen zu den genauen Auswirkungen der Ausnutzung über die Remote-Code-Ausführung hinaus (z.B. Datenexfiltration, Persistenzmechanismen) sind nicht spezifiziert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Citrix extern erreichbar?
  • Haben wir Palo Alto extern erreichbar?

Erwähnte Akteure & Werkzeuge

Malware
Cobalt StrikeS0154

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(2)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„CISA has added three actively exploited vulnerabilities to its KEV catalog, including a critical code injection flaw in Langflow (CVE-2026-9198).“

T1203Exploitation for Client Executionzugeordnet

„This Langflow vulnerability allows unauthenticated attackers to achieve full remote code execution.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CISA Current ActivityPrimärbeleg
    CISA Adds Three Known Exploited Vulnerabilities to Catalog
  2. The Hacker NewsKontext
    CISA Flags Langflow RCE, Tomcat, and N-central Flaws as Actively Exploited
  3. SecurityWeekKontext
    Cisco Patches Firewall Zero-Day Exploited for DoS Attacks
  4. BleepingComputerKontext
    Lazarus hackers exploited Windows zero-day to target defense firms

Der Vorgang wird seit 8 Tagen berichtet.

Quellen & Belege· 4 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

BleepingComputerKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

SecurityWeekKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News