Angreifer attackieren IBM Langflow und Apache-Tomcat-Server

Aktuelle Bedrohungslage für IT-Infrastrukturen

Die Cybersecurity & Infrastructure Security Agency (CISA) hat eine dringende Warnung herausgegeben, die Administratoren von IBM Langflow und Apache-Tomcat-Servern zur sofortigen Reaktion auffordert. Derzeit werden aktive Angriffsversuche auf diese Systeme beobachtet, die das Potenzial haben, die Sicherheit und Integrität der betroffenen IT-Umgebungen massiv zu gefährden. Sicherheitsforscher von Palo Alto Networks Unit 42 konnten bereits mehrere Angriffsversuche dokumentieren, was die Dringlichkeit der Lage unterstreicht.

Kritische Schwachstelle in IBM Langflow

Besonders besorgniserregend ist die Situation bei IBM Langflow. Das KI-Agenten-Tool weist eine als „kritisch“ eingestufte Sicherheitslücke auf, die unter der Kennung CVE-2026-9198 geführt wird. Nach Angaben von IBM sind Instanzen, die mit den Standardeinstellungen betrieben werden, direkt angreifbar.

Der Angriffsvektor ist schwerwiegend: Angreifern gelingt es, einen Superuser-Token zu erlangen. Mit diesen weitreichenden administrativen Berechtigungen können sie eine Funktion zur Überprüfung von Python-Code manipulieren. Das Kernproblem besteht darin, dass diese Funktion den Code bereits während des Prüfvorgangs ausführt. Dies ermöglicht die Einschleusung und Ausführung von Schadcode, was im schlimmsten Fall zur vollständigen Kompromittierung des betroffenen Systems führt. Um dieses Risiko zu eliminieren, steht das Update auf die Version Langflow OSS 1.10.1 bereit.

Sicherheitsrisiken im Apache-Tomcat-Cluster

Neben Langflow sind auch Apache-Tomcat-Server von gezielten Angriffen betroffen. Hier fokussieren sich die Angriffe auf eine Schwachstelle, die als „hoch“ eingestuft wird (CVE-2026-34486). Das Sicherheitsrisiko manifestiert sich insbesondere im Cluster-Betrieb.

Die Schwachstelle ermöglicht es Angreifern, den Schutzmechanismus „EncryptInterceptor“ zu umgehen. Dieser Mechanismus ist eigentlich dafür konzipiert, die Vertraulichkeit und Integrität der Kommunikation innerhalb von Tomcat-Clustern zu gewährleisten. Durch die Umgehung dieser Sicherheitsbarriere können Angreifer den Datenverkehr zwischen den Servern mitlesen und nach bisherigen Erkenntnissen unter Umständen sogar manipulieren. Die Entwickler von Apache Tomcat haben bereits reagiert und entsprechende Korrekturen in den Versionen 9.0.117, 10.1.54 sowie 11.0.21 veröffentlicht.

Einordnung und notwendige Maßnahmen

Obwohl das genaue Ausmaß der bereits erfolgten Angriffe derzeit noch nicht vollständig quantifiziert werden kann, ist die Gefahr durch die dokumentierten Versuche real. Die Kombination aus kritischen Berechtigungs-Escalations bei Langflow und der Untergrabung der Kommunikationssicherheit bei Tomcat stellt Administratoren vor eine Herausforderung, die schnelles Handeln erfordert.

Für IT-Verantwortliche ergeben sich daraus folgende nächste Schritte:

* **Inventarisierung:** Überprüfung aller eingesetzten Instanzen von IBM Langflow und Apache Tomcat.

* **Patch-Management:** Zeitnahe Installation der bereitgestellten Sicherheitsupdates, um die bekannten Schwachstellen zu schließen.

* **Überwachung:** Erhöhte Aufmerksamkeit bei der Log-Analyse, um potenzielle Anzeichen für bereits erfolgte unbefugte Zugriffe zu identifizieren.

Angesichts der Einstufung der Lücken ist davon auszugehen, dass automatisierte Angriffswerkzeuge verstärkt versuchen werden, ungepatchte Systeme zu identifizieren. Ein zeitnahes Einspielen der Updates ist daher der effektivste Weg, um die Sicherheit der betroffenen Infrastrukturen wiederherzustellen.