CISA varnar för aktiva attacker mot Langflow, N-central och Tomcat

Den amerikanska cybersäkerhetsmyndigheten CISA har lagt till tre aktivt utnyttjade sårbarheter som påverkar IBM Langflow, N-able N-central och Apache Tomcat i sin katalog över kända utnyttjade sårbarheter, Known Exploited Vulnerabilities (KEV).

Federala myndigheter har fått tre dagar på sig att genomföra tillgängliga skyddsåtgärder. Sårbarheterna kan göra det möjligt för angripare att köra kod på distans, kapa administratörskonton eller få ett fotfäste på sårbara servrar.

CISA har inte avslöjat vilka specifika attacker som utnyttjar sårbarheterna. Myndigheten uppger också att det är okänt om ransomwaregrupper har använt någon av dem.

Att samtliga tre sårbarheter nu har lagts till i CISA:s KEV-katalog bekräftar dock att hotaktörer utnyttjar dem i verkliga attacker.

Kritisk sårbarhet i Langflow möjliggör fjärrkörning av kod

Den allvarligaste sårbarheten påverkar IBM Langflow, ett visuellt ramverk som används för att bygga AI-agenter.

Sårbarheten, som spåras som CVE-2026-9198, har ett kritiskt allvarlighetsbetyg på 9,8 av 10. Den kan göra det möjligt för en oautentiserad angripare att köra kod på distans på Langflow-installationer med standardkonfiguration.

Angripare kan enligt uppgift kombinera två API-slutpunkter för att kringgå autentisering och köra kommandon på ett sårbart system.

Flera fullt fungerande proof-of-concept-exploits för sårbarheten publicerades i slutet av juli. Det publicerade materialet innehöll instruktioner som kan hjälpa angripare att utnyttja sårbarheten.

CISA varnade också för en annan kritisk sårbarhet i Langflow, CVE-2026-0770, två veckor tidigare. Den sårbarheten utnyttjades för att uppnå fjärrkörning av kod med root-behörighet.

Organisationer som använder Langflow bör omedelbart granska sina installationer och installera alla tillgängliga säkerhetsuppdateringar och skyddsåtgärder.

Sårbarhet i N-central gör det möjligt att kapa administratörskonton

Den andra sårbarheten påverkar N-able N-central, en plattform för fjärrövervakning och hantering som används av många leverantörer av hanterade IT-tjänster.

Sårbarheten, som spåras som CVE-2026-18576, har hög allvarlighetsgrad och kan göra det möjligt för angripare att ta över administratörskonton utan autentisering.

N-able släppte tidigare en säkerhetsuppdatering för problemet. Företaget uppgav dock att den första åtgärden inte var tillräcklig efter att angripare hittat ytterligare ett sätt att utnyttja sårbarheten.

Den 1 augusti varnade N-able sina kunder för att hackare aktivt utnyttjade sårbarheten. Företaget släppte senare en akut hotfix och uppmanade kunderna att installera den.

Problemet påverkar N-central-versioner som släppts före version 2026.3.

Eftersom plattformar för fjärrövervakning kan ge åtkomst till många hanterade enheter kan attacker mot N-central innebära risker som sträcker sig långt utanför en enskild organisation. Leverantörer av hanterade IT-tjänster bör prioritera uppdateringen och granska sina miljöer efter misstänkt aktivitet.

Sårbarhet i Apache Tomcat används för att installera reverse shells

Den tredje sårbarheten påverkar Apache Tomcat och spåras som CVE-2026-34486.

Den har ett allvarlighetsbetyg på 7,5 och beror på en ofullständig åtgärd för CVE-2026-29146, en kritisk sårbarhet med allvarlighetsgraden 9,8 som rör bristande kryptering av känsliga data.

Forskare vid Palo Alto Networks Unit 42 rapporterade den 30 juli att en kinesisktalande hotaktör hade försökt utnyttja CVE-2026-34486 i en manuell attackkampanj.

Angriparna riktade in sig på nio Apache Tomcat-servrar och försökte installera reverse shells, vilket kan ge cyberkriminella långvarig fjärråtkomst till komprometterade system.

CISA:s senaste åtgärd understryker vikten av snabb patchning av publikt exponerade tjänster. Organisationer som använder Langflow, N-central eller Apache Tomcat bör identifiera sårbara system, installera leverantörernas säkerhetsuppdateringar och övervaka loggar efter tecken på försök till utnyttjande.