Yapay zekâ ajanlarını ve iş akışlarını sürükle-bırak yöntemiyle kurmayı sağlayan açık kaynak araç Langflow, son iki yılın en çok hedef alınan yapay zekâ altyapılarından biri. Aracın güvenlik bildirimlerini yöneten IBM’in 28 Ekim’de yayımlayıp ertesi gün güncellediği bülten, bu kez çok daha ciddi bir tablo ortaya koydu: Langflow’da, sunucuda hiçbir hesabı olmayan uzaktaki bir saldırganın kimlik doğrulamayı atlatmasına ya da doğrudan kod çalıştırmasına izin veren iki kritik açık bulunuyor.
Açıklar 1.0.0 ile 1.12.8 arasındaki bütün sürümleri etkiliyor. IBM’in sunduğu tek çözüm, 22 Ekim’de yayımlanan 1.13.0 sürümüne geçmek. Aynı gün çıkan 1.12.8 sürümü hâlâ açıkları içeriyor ve 2 Kasım itibarıyla 1.12 serisinde yeni bir yama bulunmuyor. Yükseltme yapamayan sunucular için geçici bir önlem de önerilmiyor.
Dört açık, ikisi kritik
IBM bülteninde Langflow’a ait toplam dört açık yer alıyor:
- CVE-2026-93680 (CVSS 9.8, kritik): Hatalı kimlik doğrulama nedeniyle, hesap gerektirmeden güvenlik kısıtlamalarının atlatılması.
- CVE-2026-110186 (CVSS 9.8, kritik): Kod üretiminin yetersiz denetlenmesi nedeniyle, hesap gerektirmeden rastgele kod çalıştırılması.
- CVE-2026-110193 (CVSS 8.8, yüksek): Düşük yetkili bir hesabın, aracın “Agentic Assistant” bileşenine sunucuda işletim sistemi komutu çalıştıran kod ürettirmesi.
- CVE-2026-110192 (CVSS 6.5, orta): Yeterince korunmayan kimlik bilgileri üzerinden hassas bilgilere erişim.
MCP bağlantısı neden önemli?
IBM’e göre açıklardan biri, Model Context Protocol (MCP) araç listeleme süreci üzerinden istismar edilebilen, kimlik doğrulamasız bir uzaktan kod çalıştırma açığı. Langflow, MCP sayesinde kullanıcıların oluşturduğu akışları, MCP destekleyen yapay zekâ uygulamalarına “araç” olarak sunabiliyor. Bu kullanışlı özellik, sunucunun MCP uç noktası internete açıksa saldırganlar için de bir giriş kapısına dönüşüyor.
Durumu daha acil kılan bir ayrıntı daha var: Herkese açık Metasploit Framework içinde, kimlik doğrulama atlatma açığı CVE-2026-93680’e atıf yapan bir modül zaten bulunuyor. Bu modül, kimlik bilgisi olmadan bir Langflow sunucusunun MCP uç noktasına bağlanıyor, oturum başlatıyor ve sunucunun sunduğu araçları listeliyor. Modül kendi başına sunucuda kod ya da komut çalıştırmıyor; ancak keşif aşamasını otomatikleştirmesi, savunmasız sunucuların hızla taranabileceği anlamına geliyor.
Gerçek saldırılarda kullanılıyor mu?
Yeni açıkların hiçbiri, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA’nın aktif olarak istismar edilen açıklar kataloğunda, katalogun 30 Ekim güncellemesi itibarıyla yer almıyor. Ancak Langflow’un geçmişi iyimser olmaya izin vermiyor: Aynı katalogda Langflow’a ait altı açık daha bulunuyor ve bunların en yenisi, ağustos ayında eklenen CVE-2026-9198. Önceki Langflow açıklarının kısa sürede botnetler ve kripto madencileri tarafından istismar edildiği hatırlanırsa, yöneticilerin beklemesi için pek neden yok.
1.13.0’a güvenli geçiş için adımlar
Langflow 1.13 ile birlikte otomatik giriş (auto login) varsayılan olarak kapatılıyor. Bu nedenle yükseltme öncesinde hazırlık yapmak gerekiyor:
- Veritabanını, gizli anahtarı (secret key) ve yüklenen dosyaları yedekleyin.
- Sunucunuz otomatik giriş kullanıyorsa, mevcut hesabı parolalı girişe hazırlayın.
- Python paketini
pip install --upgrade "langflow==1.13.0"komutuyla yükseltin; Docker kullanıyorsanızlangflowai/langflow:1.13.0imajına geçin ve kalıcı verileri koruyun. - Yükseltmeye kadar Langflow arayüzünü ve MCP uç noktasını internete kapatın, erişimi VPN ya da güvenilir IP adresleriyle sınırlayın.
- Sunucuda tanımlı API anahtarlarını ve bulut kimlik bilgilerini, olası bir sızıntıya karşı yenilemeyi değerlendirin.
Yapay zekâ ajanları yeni saldırı yüzeyi
Langflow vakası, yapay zekâ ajanı altyapılarının klasik web uygulamalarından daha riskli olabileceğini bir kez daha gösteriyor. Bu araçlar doğası gereği kod üretip çalıştırıyor, büyük dil modeli sağlayıcılarının API anahtarlarını, veritabanı parolalarını ve bulut erişim bilgilerini bir arada tutuyor. Tek bir açık, saldırgana yalnızca sunucuyu değil, bağlı olduğu tüm hizmetleri teslim edebiliyor. Langflow kullanan ekiplerin sürümlerini bugün kontrol etmesi öneriliyor.
Kaynak: IBM güvenlik bülteni, Langflow sürüm notları, The Hacker News
