Langflow'da kritik RCE açığı: yapay zekâ iş akışı sunucuları saldırı altında

Zafiyet 8 dk okuma 18 Ekim 2026

Yapay zekâ ajanı ve RAG iş akışı kurmak için kullanılan açık kaynaklı Langflow'da CVSS 9,9 puanlı yeni bir uzaktan kod çalıştırma (RCE) açığı, duyurulmadan yaklaşık iki hafta önce bile istismar ediliyordu. Açık, 5 Ekim'de duyuruldu. Güvenlik firması Previdian'ın bal küpü (honeypot) verilerine göre saldırı denemeleri Eylül'den beri sürüyor ve son günlerde hızlandı. Bu, Langflow'un son bir buçuk yılda istismar edilen ilk kritik açığı değil. Bu yazıda neyin doğrulandığını, neyin henüz doğrulanmadığını, açığın nasıl çalıştığını ve kendi kurulumunu nasıl kontrol edeceğini anlatıyorum.

Doğrulama notu: Bilgiler 18 Ekim 2026 itibarıyla The Hacker News (15 Ekim), Previdian'ın açık sayfası (18 Ekim'de güncellenmiş), HOL güvenlik kaydı ve Safeguard'ın analizine dayanıyor. Açığı ilk keşfedenin orijinal advisory metnine doğrudan ulaşmadım. Rakamlar tek bir bal küpü sensörüne ait ve gerçek dünyadaki toplam saldırıyı göstermez. Yorumlarım ayrıca işaretli.

Haber doğru mu?

Evet. "Langflow'da kritik RCE açığı" haberi gerçek ve birden fazla kaynakta tutarlı. Ama ayrıntıda dikkat edilmesi gereken iki nokta var:

Tek bir açık değil. Langflow'da 2026 boyunca birkaç kritik RCE açığı yayımlandı ve istismar edildi. En güncel olanı CVE-2026-105740. Yanında aynı alandaki ikinci bir açık, CVE-2026-105697, aynı gün duyuruldu.
"Kimlik doğrulamasız" değil, ama pratikte öyle olabilir. CVE-2026-105740 için saldırganın oturum açmış bir kullanıcı olması gerekiyor. Bu kullanıcının yönetici olması şart değil. Ancak varsayılan ayarlarda otomatik giriş (auto-login) açıksa bu engel kalkabilir. Safeguard, CVE-2026-105697 için bu durumu açıkça yazıyor, The Hacker News ise saldırganların önce otomatik giriş uç noktasını denediğini aktarıyor.

Önemli bir karışıklık da şu: açık, CISA'nın "bilinen istismar edilen açıklar" listesine (KEV) girdi mi? Previdian'ın sayfasına göre 18 Ekim itibarıyla girmedi. Sayfadaki "KEV" etiketleri Previdian'ın kendi kataloğuna ait. Yani "CISA uyardı" demek için henüz bir dayanak yok.

Langflow nedir, neden hedef?

Langflow, yapay zekâ ajanları ve RAG (belgeden bilgi getirerek yanıt üreten) iş akışları kurmak için kullanılan açık kaynaklı bir araç. Kullanıcı kutuları sürükleyip birleştirerek bir akış oluşturuyor, bu akışlar dil modeli API'lerine, veritabanlarına ve dış servislere bağlanıyor.

Yorum: Bu yüzden ele geçirilen bir Langflow sunucusu sıradan bir web sitesinden daha değerli. İçinde genellikle model sağlayıcı API anahtarları, veritabanı bağlantı bilgileri ve bulut kimlik bilgileri duruyor. Saldırganın ilk hedefi çoğu zaman sunucunun kendisi değil, bu anahtarlar. Bu açıkların istismar verilerinde de ortam değişkenlerinin çalındığı görülüyor.

Açık nasıl çalışıyor?

Langflow, dış araçlara bağlanmak için MCP (Model Context Protocol) sunucuları tanımlamaya izin veriyor. "Stdio" aktarım türünde bir MCP sunucusu, sunucuda çalıştırılacak bir komutla tanımlanıyor. Previdian ve HOL kaydına göre sorun şurada:

Oturum açmış herhangi bir kullanıcı, "Stdio" türünde bir MCP sunucusu ekleyebiliyor.
Yazılan komut, doğrulama, izin listesi ya da kum havuzu (sandbox) olmadan bash'e veriliyor. Komut, sunucu listesi çağrıldığında çalışıyor.
Ortam değişkeni alanı da kontrol edilebildiği için LD_PRELOAD ya da PATH gibi değişkenlerle başka yollarla kod çalıştırmak da mümkün.
Yapılandırma kalıcı. Yani liste her yüklendiğinde komut yeniden çalışabiliyor.

	CVE-2026-105740	CVE-2026-105697
Puan	CVSS 9,9 (kritik)	CVSS 9,9 (kritik)
Tür	MCP Stdio ile kimlik doğrulamalı komut enjeksiyonu (CWE-78)	MCP Stdio yapılandırmasıyla işletim sistemi komut enjeksiyonu
Düzeltilen sürüm	1.9.0	1.10.3
Not	Yayın tarihi 5 Ekim 2026. İstismar gözlemlendi.	Safeguard'a göre 1.9.0 ile 1.10.2 arası sürümler hâlâ açık.

Yorum: Bu tablodan çıkan pratik sonuç: 1.9.0'a yükseltmek ilk açığı kapatıyor ama ikinciyi kapatmıyor. Güvenli hedef sürüm 1.10.3 ya da üstü. Bu bilgi Safeguard'ın analizinden geliyor, The Hacker News da CVE-2026-105697'nin 1.10.3'te düzeltildiğini söylüyor.

Saldırılarda ne görüldü?

Previdian'ın tek bir bal küpü sensöründen topladığı veriler şöyle:

Zaman çizelgesi: İlk istismar etkinliği 19 Eylül 2026'da görüldü, yani açığın duyurulmasından yaklaşık iki hafta önce. 11 Ekim'den sonra denemeler hızla arttı.
Sayılar: The Hacker News 15 Ekim'de 1.423 deneme ve 27 farklı IP verdi. Previdian'ın sayfası 18 Ekim itibarıyla son 31 günde 2.310 deneme, 17 ülkeden 30 farklı IP gösteriyor.
Saldırganın izlediği yol: Önce Langflow sürümüne bakıyor, ardından otomatik giriş uç noktasını deniyor. Bal küpünde bu kapalıydı ve 403 döndü. Bunun üzerine yaygın bir kullanıcı adı ve parolayla oturum açmaya çalışıyor.
Çalıştırılan komutlar: Ortam değişkenlerinin ve yapılandırmanın çıkarılması, özellikle LANGFLOW_SECRET_KEY ve LANGFLOW_SUPERUSER_PASSWORD. Ayrıca sunucunun /etc/passwd dosyasını okumaya çalışan Docker komutları ve id, whoami gibi yoklama komutları.

Yorum: Bu yüzden yalnızca yazılımı yamalamak yetmez. Saldırgan çalıştırdığı komutla gizli anahtarları ve yönetici parolasını almış olabilir. Bu bilgiler çalındıysa yama sonrası da saldırgana erişim sağlayabilir. Yani açık sunulmuş bir sunucuyu yamalamak, o sunucudaki sırların güvende olduğu anlamına gelmez.

İlk değil: Langflow'daki istismar geçmişi

Tarih	Açık	Ne oldu?
Mayıs 2025	CVE-2025-3248	Kimlik doğrulama eksikliği. CISA istismar edilenler listesine aldı. Sysdig'e göre JadePuffer fidye yazılımı grubu bu açıkla Langflow'un PostgreSQL veritabanlarını boşalttı.
Mart 2026	CVE-2026-33017	Herkese açık akışlardaki bir uç nokta, saldırganın gönderdiği Python kodunu kum havuzu olmadan çalıştırıyordu (CVSS 9,3). Sysdig'e göre saldırganlar bunu advisory'nin yayımlanmasından yaklaşık 20 saat sonra silahlandırdı. CISA 25 Mart'ta listeye ekledi.
Haziran-Temmuz 2026	CVE-2026-0770	Doğrulama uç noktasındaki bir hata, kimlik doğrulamasız saldırganın root olarak kod çalıştırmasına izin veriyordu. Trend Micro buldu. KEVIntel 27 Haziran'dan itibaren 64 farklı IP'den 220'den fazla deneme gördü. CISA temmuzda listeye ekledi.
Temmuz 2026	CVE-2026-55255	Güvensiz doğrudan nesne referansı (IDOR) açığı da CISA'nın istismar edilenler listesinde.
Ekim 2026	CVE-2026-105740 ve CVE-2026-105697	MCP Stdio üzerinden komut enjeksiyonu. Bu yazının konusu.

Yorum: Bu desen önemli: aynı üründe, aynı sınıftan hatalar tekrar tekrar çıkıyor. Kullanıcıdan gelen veriyle kod ya da komut çalıştırılan her yeni özellik, yeni bir açık adayı. Yapay zekâ ajanı araçlarının bu kadar çok "komut çalıştır" özelliği taşıması, onları savunma açısından sunucu yönetim panellerine yaklaştırıyor.

Ne yapmalı?

Langflow kullanıyorsan, aşağıdaki adımları sırayla uygula. Yalnızca kendi kullandığın ya da yönettiğin kurulumlar için geçerli.

Sürümünü öğren ve yükselt. 1.10.3 ya da daha yenisine geç. 1.9.0 tek başına yeterli değil.
Otomatik girişi kapat. LANGFLOW_AUTO_LOGIN=false ayarla ve güçlü, benzersiz parolalar kullan. Saldırganlar önce otomatik girişi, sonra yaygın parolaları deniyor.
İnternete doğrudan açma. Langflow'u VPN ya da kimlik doğrulamalı bir ters vekil sunucunun arkasına al. Yalnızca güvendiğin kullanıcılara hesap ver. Ayrıntı için KOBİ firewall rehberine bak.
Günlükleri incele. Previdian, /api/v2/mcp/servers/ altındaki isteklerin ve oturum açma kayıtlarının gözden geçirilmesini öneriyor. Daha önceki açıklar için /api/v1/validate/code isteklerine de bak. Tanımadığın bir MCP sunucusu ya da akış var mı kontrol et.
Sırları yenile. Sunucu internete açıksa ve açığa karşı yamasızsa, saldırı yapılmış olabilir. LANGFLOW_SECRET_KEY'i, süper kullanıcı parolasını ve sunucudaki tüm API anahtarlarını, veritabanı ve bulut kimlik bilgilerini değiştir.
MCP komutlarını sınırla. Safeguard'a göre 1.10.3 ve sonrasında LANGFLOW_MCP_SERVER_ALLOWED_PACKAGES, LANGFLOW_MCP_SERVER_INTERPRETER_HARDENING=true ve LANGFLOW_MCP_SERVER_DOCKER_HARDENING=true ayarları var. Kendi sürümünün belgelerinden doğrula.
Sunucuyu izole et. Langflow'u ayrı bir ağda, mümkünse root olmayan bir kullanıcıyla ve en az yetkiyle çalıştır. Dış çıkışını kısıtla, bir sorun olduğunda diğer sistemlere yayılamasın. VLAN ile ağ ayırma rehberindeki mantık burada da geçerli.

Langflow sürümüm 1.10.3 ya da daha yeni mi?
Otomatik giriş kapalı mı, parolalar güçlü mü?
Sunucu doğrudan internete açık mı?
MCP sunucu listesinde tanımadığım bir kayıt var mı?
Gizli anahtarlar ve API anahtarları yenilendi mi?
Sunucu, diğer sistemlerden ayrı bir ağda mı?

Yapay zekâ altyapısının güvenliği hakkında daha geniş bir resim için yapay zekâ ve siber güvenlik analizimize ve Anthropic'in IoT uyarısı yazımıza da bakabilirsin.

Bilinmeyenler

CISA'nın bu açığı KEV listesine alıp almayacağı belli değil. 18 Ekim itibarıyla listede olmadığı Previdian'a göre aktarıldı.
Deneme sayıları tek bir bal küpü sensörüne ait. İnternete açık gerçek Langflow sunucularından kaçının ele geçirildiği bilinmiyor.
CVE-2026-105740 ve CVE-2026-105697'nin tam ilişkisi kaynaklarda net değil. The Hacker News ikincisini "ilgili" olarak anıyor, ikisinin düzeltme sürümleri farklı.
Safeguard'ın 1.9.0 ile 1.10.2 arası sürümlerin hâlâ açık olduğu iddiasını başka bir bağımsız kaynakta doğrulayamadım. Temkinli olup 1.10.3'e yükseltmen bu yüzden daha güvenli.
Mart ve Haziran 2026'daki Langflow açıkları için kaynaklar etkilenen ve düzeltilen sürümlerde birbirinden farklı bilgi veriyor. O nedenle yukarıdaki geçmiş tablosunda sürüm numarası vermedim.

Bu yazı genel bilgi amaçlıdır, resmî bir güvenlik duyurusu değildir. Kendi sisteminiz için Langflow'un resmî güvenlik duyurularını (GitHub advisory) esas alın. Rakamlar ve iddialar ilgili kaynaklardan alınmıştır ve gelişmelerle değişebilir.

Kaynaklar

Tüm haberlere dön