Das Wichtigste in Kürze
CVE-2026-55255 ist eine mandantenübergreifende Lücke in Langflow, dem Open-Source-Werkzeug, mit dem Teams KI-Agenten und LLM-Anwendungen bauen – und sie wird aktiv ausgenutzt, um die dort gespeicherten Zugangsdaten zu stehlen. Ein angemeldeter Nutzer kann jeden fremden Flow allein über dessen ID ausführen und die eingebetteten Secrets für OpenAI, Anthropic, AWS und Datenbanken abgreifen. Die CISA hat die Lücke am 7. Juli 2026 in den KEV-Katalog aufgenommen, die Patch-Frist für US-Bundesbehörden endete am 10. Juli.
Die praktische Lesart für Engineering-Verantwortliche: Ein KI-Orchestrierungsserver ist ein konzentrierter Tresor sofort verwertbarer Zugangsdaten – und Langflow ist eine der ersten Agenten-Plattformen mit einer Lücke auf der Pflicht-Patch-Liste der CISA. Wer Langflow oder einen anderen visuellen LLM-Builder betreibt, sollte patchen, die Instanz aus dem öffentlichen Internet nehmen und jeden Schlüssel rotieren, den die Flows je gehalten haben.
Was ist genau passiert?
Langflow ist eine verbreitete Open-Source-Low-Code-Oberfläche, auf der Teams große Sprachmodelle, APIs und Datenquellen zu ausführbaren „Flows“ verdrahten – das visuelle Rückgrat vieler KI-Agenten und LLM-Prototypen. CVE-2026-55255 ist eine mandantenübergreifende unsichere direkte Objektreferenz (IDOR) in dieser Plattform, auch als Autorisierungsumgehung über einen nutzerkontrollierten Schlüssel beschrieben und mit CVSS 9.9 bewertet. Konkret: Ein angemeldeter Nutzer kann einen Flow, der jemand anderem gehört, allein über dessen Flow-ID ausführen – ohne Prüfung, ob er dazu berechtigt ist.
Das Sysdig Threat Research Team meldete die erste bekannte Ausnutzung in freier Wildbahn Ende Juni 2026 – bemerkenswerterweise bevor ein öffentlicher Proof of Concept existierte. Der Angreifer folgte einem skriptgesteuerten Ablauf in fester Reihenfolge: anmelden, Flows über den Endpunkt /api/v1/flows/ auflisten, dann die offengelegten IDs wiederverwenden, um fremde Flows auszuführen und ihnen die eingebetteten Secrets zu entlocken. Weil ein gekaperter Flow mit seinen eigenen gespeicherten Zugangsdaten läuft, erbeutete der Angreifer Schlüssel von LLM-Anbietern, AWS-Zugangsschlüssel und Datenbank-Secrets. Genau diese Art von Risiko unterschätzen Teams, die KI-Agenten entwickeln: Die Orchestrierungsschicht hält die Schlüssel zu allem, womit sie verbunden ist.
Die IDOR kam nicht allein. Dieselbe Kampagne kombinierte sie mit CVE-2026-33017, einer Remote-Code-Execution-Lücke in Langflow ohne Authentifizierung (CVSS 9.3), die die CISA bereits im März 2026 in ihren Katalog aufgenommen hatte und die gegen Tausende exponierte Server eingesetzt wurde. Die Forscher beschreiben den Akteur als opportunistisch und finanziell motiviert: Er macht zu Geld, was ein Host hergibt – Schlüssel weiterverkaufen, LLM-Kontingente missbrauchen und zusätzliche Malware für Cryptojacking-artige Operationen nachladen.
Warum sind KI-Agenten-Plattformen so lohnende Ziele?
Der schärfste Punkt stammt von Sysdig selbst: Dies ist nicht die am höchsten bewertete Langflow-Lücke, aber die, die tatsächlich ausgenutzt wurde. Der Grund ist ökonomisch. Ein visueller KI-Builder wie Langflow verleitet Entwickler dazu, Zugangsdaten direkt in die Komponentenkonfiguration eines Flows zu kopieren – hier ein OpenAI- oder Anthropic-Schlüssel, dort ein AWS-Zugangsschlüssel, daneben ein Datenbank-String für den Kontext. Jedes dieser Secrets ist sofort verwertbar: weiterverkaufbar oder direkt missbrauchbar, ohne weitere Exploit-Entwicklung. Ein einziger exponierter Server wird zum Hauptgewinn.
Damit kehrt sich die übliche Schweregrad-Logik um. Ein theoretisches CVSS 10 ohne einfachen Weg zum Gewinn kann ungenutzt bleiben, während eine „nur“ hoch bewertete IDOR, die live API-Schlüssel herausgibt, zuerst automatisiert wird. Für alle, die generative KI in ein Produkt integrieren, ist die Schlussfolgerung klar: Die Werkzeuge, mit denen Sie KI-Funktionen bauen, haben heute denselben Schadensradius wie produktive Secret-Stores und verdienen dieselbe Vorsicht – Netzwerkisolation, echte Authentifizierung und keine Secrets im Klartext in einem Flow.
Warum reicht ein Langflow-Patch nicht aus?
Hier liegt die Falle. Patcht man eine Code-Execution-Lücke, ist die Tür in der Regel zu. Patcht man eine Lücke, deren ganzer Zweck darin bestand, gespeicherte Zugangsdaten abzuziehen, stoppt das Update künftigen Diebstahl – ändert aber nichts an den Schlüsseln, die das Haus schon verlassen haben. Diese OpenAI-, AWS- und Datenbank-Secrets bleiben gültig, bis sie ablaufen oder rotiert werden. Ein vollständig gepatchtes Langflow kann also weiterhin einen Angreifer versorgen, der still Ihre Modellrechnung in die Höhe treibt oder sich in Ihr Cloud-Konto vorarbeitet.
Gefragt ist die Disziplin, die der Vorfall verlangt. Nach dem Update auf eine korrigierte Langflow-Version rotieren Sie jede Zugangsberechtigung, die ein Flow berührt haben könnte, und behandeln Sie jede Instanz, die vor dem Patch aus dem Internet erreichbar war, bis zum Beweis des Gegenteils als kompromittiert. Dann folgt die Suche: Logs auf Flow-Auflistungen über /api/v1/flows/, unerwartete Flow-Ausführungen und ausgehende Verbindungen zu unbekannten Hosts prüfen sowie die Audit-Trails von Cloud- und LLM-Anbietern auf die Nutzung abgeflossener Schlüssel durchsuchen. Diese Entwicklungs- und Orchestrierungswerkzeuge unter kontinuierliches Monitoring und Zugriffskontrolle zu stellen, ist gewöhnliche Cloud- und DevOps-Hygiene – und macht aus der nächsten Zero-Day-Lücke in KI-Tools einen eingegrenzten Vorfall statt eines Datenlecks.
Was das für Software-Teams in den USA und der EU bedeutet
Lässt man den Produktnamen weg, bleiben drei dauerhafte Lehren. Erstens: Secrets gehören nicht in Flow-Konfigurationen. KI-Builder machen es reibungslos, einen Schlüssel direkt neben die Komponente zu legen, die ihn braucht – doch diese Bequemlichkeit bündelt Ihre wertvollsten Zugangsdaten genau dort, wo Angreifer jetzt suchen. Verlagern Sie Zugangsdaten in einen verwalteten Secret-Store, injizieren Sie sie zur Laufzeit und bevorzugen Sie kurzlebige, eng begrenzte Tokens gegenüber langlebigen Anbieterschlüsseln, damit ein Leck einen kleineren, ablaufenden Schadensradius hat.
Zweitens: Interne KI-Werkzeuge landen immer wieder im öffentlichen Internet. Langflow, Notebooks, Dashboards von Vektordatenbanken und Agenten-Frameworks gehören hinter Authentifizierung und Netzwerkkontrollen – trotzdem waren Tausende Langflow-Server erreichbar und angreifbar. Inventarisieren Sie jedes KI- und Datenwerkzeug, das Sie betreiben, stellen Sie es hinter SSO und ein privates Netz und gehen Sie davon aus, dass alles Exponierte gerade gescannt wird.
Drittens: Compliance folgt den Schlüsseln. Ein gestohlener AWS-Schlüssel oder ein Datenbank-Secret kann den Weg zu personenbezogenen Daten öffnen und damit Meldefristen auslösen – 72 Stunden nach der DSGVO, dazu ein wachsender Flickenteppich US-bundesstaatlicher Fristen – und betrifft bei Finanzunternehmen die EU-Regeln von DORA zu IKT-Vorfällen und Drittparteienrisiken. Wer im FinTech-Umfeld arbeitet oder personenbezogene Daten aus der EU verarbeitet, für den kann ein abgeflossener Agenten-Schlüssel schnell zum regulatorischen Ereignis werden. Die Reaktion muss deshalb ab der ersten Stunde rechtlich und technisch zugleich laufen, nicht nur als Versionssprung.
Was bedeutet das für den DACH-Markt?
Im DACH-Raum betreiben viele Unternehmen – gerade im Mittelstand – KI-Werkzeuge wie Langflow bewusst selbst gehostet, statt auf US-SaaS zu setzen: wegen Datensouveränität, Betriebsrat und Datenschutz. Genau diese Self-Hosting-Instanzen sind das Risiko dieses Vorfalls. Sie entstehen oft als Prototyp in einer Fachabteilung, laufen auf einer schnell aufgesetzten Cloud-VM und tauchen in keinem zentralen Inventar auf. Prüfen Sie deshalb nicht nur die offiziellen KI-Projekte, sondern gezielt die „Schatten-KI“: Wer hat wo einen Agenten-Builder gestartet, und welche Schlüssel für OpenAI, Azure OpenAI oder europäische Modellanbieter stecken darin?
Regulatorisch heißt das: Führt ein abgeflossener Schlüssel zu personenbezogenen Daten, gilt die 72-Stunden-Meldepflicht an die zuständige Datenschutzaufsicht nach Art. 33 DSGVO. Banken, Versicherer und Zahlungsdienstleister müssen schwerwiegende IKT-Vorfälle zusätzlich nach DORA melden, und Unternehmen, die unter die NIS-2-Regeln fallen, sollten die Meldewege zum BSI kennen. Halten Sie im Incident-Protokoll fest, wann die Instanz gepatcht, wann welche Schlüssel rotiert und wie Logs ausgewertet wurden – diese Dokumentation ist es, die Aufsicht und Prüfer später sehen wollen.
Was Sie diese Woche tun sollten
Die umsetzbare Version: Nehmen Sie CVE-2026-55255 zum Anlass, genau diese Lücke zu schließen – und das Muster zu beheben, das ein Leck in KI-Werkzeugen so teuer macht.
- Sofort patchen. Langflow umgehend auf eine korrigierte Version aktualisieren, im Einklang mit der CISA-Frist vom 10. Juli 2026; ist das nicht sofort möglich, die Instanz vom Netz nehmen.
- Raus aus dem Internet. Langflow und jedes KI- oder Datenwerkzeug hinter SSO und ein privates Netz stellen – diese Tools sind nicht für den öffentlichen Zugriff gedacht.
- Alle eingebetteten Secrets rotieren. Davon ausgehen, dass jeder Schlüssel eines Flows (LLM-Anbieter, AWS, Datenbank) abgeflossen ist; neue ausstellen, alte widerrufen.
- Secrets aus den Flows holen. Zugangsdaten in einen verwalteten Secret-Store verlagern, mit kurzlebigen Least-Privilege-Tokens, die zur Laufzeit injiziert werden.
- Nach früherer Ausnutzung suchen. Logs auf Auflistungen über
/api/v1/flows/, unerwartete Flow-Ausführungen und ausgehende Verbindungen prüfen; Audit-Trails von Cloud und LLM-Anbietern auf Nutzung abgeflossener Schlüssel durchsehen. - KI-Angriffsfläche inventarisieren. Jeden Agenten, jedes Notebook und jedes Vektordatenbank-Tool erfassen – was Sie vergessen haben, können Sie nicht verteidigen.
Das ist keine Rechtsberatung; Ihre konkreten Pflichten hängen von Branche und Rechtsraum ab. Das strategische Signal ist aber kaum zu übersehen: Während Teams KI-Agenten in Produktion bringen, sind die Plattformen, mit denen sie gebaut werden, zu Schlüsseltresoren geworden – und Angreifer behandeln sie genau so. Im Vorteil sind Teams, die Secrets aus den Flows heraushalten, die Werkzeuge vom offenen Internet fernhalten und schnell rotieren, sobald ein Leck auch nur möglich ist.
Häufige Fragen
Was ist CVE-2026-55255 in Langflow?
Eine mandantenübergreifende unsichere direkte Objektreferenz (IDOR), auch als Autorisierungsumgehung über einen nutzerkontrollierten Schlüssel beschrieben, im Open-Source-KI-Agenten-Baukasten Langflow. Ein angemeldeter Nutzer kann jeden Flow eines anderen Nutzers allein über dessen Flow-ID ausführen und erhält so Zugriff auf die LLM-Schlüssel, Cloud-Zugangsdaten und Datenbank-Secrets, die dieser Flow speichert. Die Lücke ist mit CVSS 9.9 bewertet; die CISA hat sie am 7. Juli 2026 in den KEV-Katalog aufgenommen.
Wie wird die Lücke ausgenutzt?
Das Sysdig Threat Research Team beobachtete Ende Juni 2026 einen finanziell motivierten Akteur, der vor jedem öffentlichen Proof of Concept einen skriptgesteuerten Ablauf gegen exponierte Langflow-Server fuhr. Er listete Flows über /api/v1/flows/ auf, führte über die IDOR fremde Flows anhand der IDs aus und kombinierte das mit CVE-2026-33017, einer RCE ohne Authentifizierung, um LLM- und AWS-Schlüssel zu stehlen und weitere Malware nachzuladen.
Warum sind KI-Agenten-Plattformen so wertvolle Ziele?
Visuelle KI-Orchestrierungswerkzeuge verbinden LLMs, APIs und Datenbanken zu Flows, und diese Flows speichern die benötigten Zugangsdaten meist direkt in der Komponentenkonfiguration. Ein einziger Server wird so zum Tresor sofort verwertbarer Schlüssel, die sich weiterverkaufen oder für LLM-Nutzung verbrennen lassen. Eine einfach ausnutzbare Lücke, die gespeicherte Secrets preisgibt, ist deshalb in der Praxis mehr wert als ein höher bewerteter Fehler ohne diesen Effekt.
Was sollten Teams, die Langflow nutzen, jetzt tun?
Langflow gemäß der CISA-Frist vom 10. Juli 2026 sofort auf eine gepatchte Version aktualisieren und jede Instanz aus dem öffentlichen Internet nehmen. Danach jede Zugangsberechtigung rotieren, die ein Flow berührt haben könnte, Secrets aus den Flow-Konfigurationen in einen verwalteten Secret-Store mit kurzlebigen Zugangsdaten verlagern und Logs auf Flow-Auflistungen und unerwartete ausgehende Verbindungen prüfen. Bei personenbezogenen Daten die 72-Stunden-Meldefrist nach DSGVO im Blick behalten.
Reicht es, Langflow zu patchen?
Nein. Weil die Lücke gespeicherte Zugangsdaten offenlegt, kann jeder Schlüssel eines kompromittierten Flows bereits beim Angreifer liegen und bleibt gültig, bis er rotiert wird. Der Patch stoppt weiteren Diebstahl, macht abgeflossene Secrets aber nicht ungültig. Jede aus dem Internet erreichbare Instanz gilt als potenziell kompromittiert: alle eingebetteten Zugangsdaten rotieren und nach früheren Auflistungen, Flow-Ausführungen und Nutzung abgeflossener Schlüssel suchen.
Quellen
Sysdig — Understanding Langflow CVE-2026-55255, and why higher-CVSS vulnerabilities aren't always the most exploited
CISA — Adds Known Exploited Vulnerabilities to Catalog (7 July 2026)
SecurityWeek — CISA Urges Immediate Patching of Exploited ColdFusion, Langflow, Joomla Flaws
Help Net Security — Attackers using Langflow flaw for credential harvesting (CVE-2026-55255)