CISA warnt vor aktiven Angriffen auf Langflow, N-central und Tomcat

Die US-amerikanische Cybersicherheitsbehörde CISA hat drei aktiv ausgenutzte Schwachstellen in IBM Langflow, N-able N-central und Apache Tomcat in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen.

Bundesbehörden haben drei Tage Zeit, die verfügbaren Schutzmaßnahmen umzusetzen. Die Schwachstellen könnten es Angreifern ermöglichen, aus der Ferne Code auszuführen, Administratorkonten zu übernehmen oder sich Zugang zu verwundbaren Servern zu verschaffen.

CISA machte keine Angaben zu den konkreten Angriffen, bei denen die Schwachstellen ausgenutzt werden. Die Behörde erklärte außerdem, dass derzeit nicht bekannt sei, ob Ransomware-Gruppen eine der Schwachstellen genutzt haben.

Die Aufnahme aller drei Sicherheitslücken in den KEV-Katalog bestätigt jedoch, dass Bedrohungsakteure sie bereits bei Angriffen in freier Wildbahn ausnutzen.

Kritische Langflow-Schwachstelle ermöglicht Remote Code Execution

Die schwerwiegendste Schwachstelle betrifft IBM Langflow, ein visuelles Framework zur Entwicklung von KI-Agenten.

Die als CVE-2026-9198 geführte Schwachstelle erhielt einen kritischen CVSS-Wert von 9,8 von 10 Punkten. Sie kann es einem nicht authentifizierten Angreifer ermöglichen, auf Standardinstallationen von Langflow aus der Ferne Code auszuführen.

Angreifer können Berichten zufolge zwei API-Endpunkte miteinander kombinieren, um die Authentifizierung zu umgehen und Befehle auf einem betroffenen System auszuführen.

Ende Juli wurden mehrere vollständig funktionsfähige Proof-of-Concept-Exploits für die Schwachstelle veröffentlicht. Das veröffentlichte Material enthielt Anleitungen, die Angreifern den Missbrauch der Schwachstelle erleichtern könnten.

Bereits zwei Wochen zuvor hatte CISA vor einer weiteren kritischen Langflow-Schwachstelle, CVE-2026-0770, gewarnt. Diese wurde ausgenutzt, um Remote Code Execution mit Root-Rechten zu erreichen.

Organisationen, die Langflow einsetzen, sollten ihre Installationen umgehend überprüfen und alle verfügbaren Sicherheitsupdates sowie Schutzmaßnahmen einspielen.

Schwachstelle in N-central ermöglicht die Übernahme von Administratorkonten

Die zweite Schwachstelle betrifft N-able N-central, eine Plattform für Remote Monitoring und Management, die von Managed Service Providern weit verbreitet eingesetzt wird.

Die als CVE-2026-18576 verfolgte Schwachstelle weist einen hohen Schweregrad auf und kann es Angreifern ermöglichen, Administratorkonten ohne Authentifizierung zu übernehmen.

N-able hatte bereits zuvor einen Patch für das Problem veröffentlicht. Das Unternehmen erklärte jedoch, dass die ursprüngliche Behebung nicht ausreichend gewesen sei, nachdem Angreifer einen weiteren Weg gefunden hatten, die Schwachstelle auszunutzen.

Am 1. August warnte N-able seine Kunden davor, dass Hacker die Schwachstelle aktiv ausnutzen. Das Unternehmen veröffentlichte anschließend einen Notfall-Hotfix und forderte seine Kunden auf, diesen umgehend zu installieren.

Betroffen sind N-central-Versionen, die vor Version 2026.3 veröffentlicht wurden.

Da Plattformen für Remote Monitoring Zugriff auf zahlreiche verwaltete Geräte ermöglichen, können Angriffe auf N-central Risiken schaffen, die weit über eine einzelne Organisation hinausgehen. Managed Service Provider sollten das Update mit höchster Priorität installieren und ihre Umgebungen auf verdächtige Aktivitäten überprüfen.

Apache-Tomcat-Schwachstelle wird zur Installation von Reverse Shells genutzt

Die dritte Schwachstelle betrifft Apache Tomcat und wird unter CVE-2026-34486 geführt.

Sie besitzt einen Schweregrad von 7,5 und geht auf eine unvollständige Behebung von CVE-2026-29146 zurück, einer kritischen Schwachstelle mit einem CVSS-Wert von 9,8, die auf eine fehlende Verschlüsselung sensibler Daten zurückzuführen ist.

Forscher von Palo Alto Networks Unit 42 berichteten am 30. Juli, dass ein chinesischsprachiger Bedrohungsakteur versucht habe, CVE-2026-34486 im Rahmen einer manuellen Angriffskampagne auszunutzen.

Die Angreifer griffen neun Apache-Tomcat-Server an und versuchten, Reverse Shells zu installieren, die Cyberkriminellen einen dauerhaften Fernzugriff auf kompromittierte Systeme ermöglichen können.

Die jüngste Maßnahme von CISA unterstreicht die Bedeutung einer schnellen Installation von Sicherheitsupdates für öffentlich erreichbare Dienste. Organisationen, die Langflow, N-central oder Apache Tomcat einsetzen, sollten verwundbare Systeme identifizieren, die von den Herstellern bereitgestellten Sicherheitsupdates installieren und Protokolle auf Hinweise auf Ausnutzungsversuche überwachen.