CVE-2026-13446: Fastkodet login i IBM Langflow OSS
IBM Langflow OSS har en fastkodet loginoplysning i koden (CVE-2026-13446). Opdatér til nyeste version for at lukke hullet.
Hvad er det?
CVE-2026-13446 rammer IBM Langflow OSS, et open source-værktøj til at bygge og drive AI-drevne arbejdsgange grafisk. Sårbarheden er en fastkodet loginoplysning, en adgangskode eller krypteringsnøgle, der er skrevet direkte ind i softwarens kode og bruges til intern godkendelse, kommunikation med eksterne systemer eller kryptering af data. Fordi værdien er den samme i alle installationer, kan enhver, der finder den i kildekoden, bruge den til at opnå adgang uden at kende en unik adgangskode for netop jeres opsætning.
Hvem rammer det?
Det rammer virksomheder og kommuner, der kører IBM Langflow OSS version 1.0.0 til og med 1.10.1, typisk selv-hostet på egne servere eller i egen sky, til at bygge chatbots, automatiseringer eller andre AI-arbejdsgange. Det gælder både installationer, der er tilgængelige fra internettet, og installationer på det interne netværk, hvor en angriber allerede har fået fodfæste.
Hvad kan ske?
En angriber, der kender eller finder den fastkodede loginoplysning, kan logge ind eller kommunikere med systemet uden at skulle gætte eller stjæle en adgangskode. Det giver mulighed for at læse og ændre data, overtage AI-arbejdsgange, injicere skadelig logik i automatiserede processer eller bruge Langflow-installationen som springbræt videre ind i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L). Alle tre konsekvenser, fortrolighed, integritet og tilgængelighed, er sat til høj. Der er ikke oplyst om aktiv udnyttelse på offentliggørelsesdatoen, men da svagheden er en fast værdi i koden, er den forholdsvis let at finde og misbruge, når den bliver kendt.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge:
- Opdatér IBM Langflow OSS til en version nyere end 1.10.1, hvor den fastkodede loginoplysning er fjernet eller ændret.
- Kan opdateringen ikke ske i dag, så isolér installationen fra internettet og begræns netværksadgang til kun betroede IP-adresser.
- Skift alle interne nøgler og hemmeligheder, som Langflow kan have delt eller brugt sammen med den fastkodede værdi, herunder API-nøgler og krypteringsnøgler.
- Gennemgå adgangslogs for usædvanlig aktivitet siden installationen blev sat i drift.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om systemet er blevet kompromitteret, eller hvis I mangler ressourcer til at gennemføre opdateringen sikkert.
Opdatér inden 24 timer
Vi anbefaler, at I opdaterer IBM Langflow OSS til en version nyere end 1.10.1 så hurtigt som muligt, da sårbarheden kan udnyttes uden login og over netværket. Er opdatering ikke mulig i dag, bør installationen isoleres fra internettet, mens I planlægger opdateringen. Det er ikke forsvarligt at vente til en fast ugentlig opdateringsrunde givet CVSS-scoren på 9,8.
Tidslinje
Konkrete eksempler
Selv-hostet AI-chatbot hos dansk virksomhed
En mellemstor dansk virksomhed har sat IBM Langflow OSS op internt til at bygge en kundeservice-chatbot og har gjort administrationsgrænsefladen tilgængelig fra internettet for at lette fjernarbejde. En angriber, der har fundet den fastkodede loginoplysning i den offentligt tilgængelige kildekode, logger ind uden en gyldig adgangskode og får adgang til kundedata og interne AI-arbejdsgange. Angrebet kræver ingen forudgående adgang til virksomhedens netværk og bliver muligt alene fordi Langflow-installationen ikke er opdateret.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-13446?
I er ramt, hvis I kører IBM Langflow OSS i en version mellem 1.0.0 og 1.10.1. Tjek versionsnummeret i jeres installation eller kontakt den, der har sat systemet op.
Hvordan tjekker vi hvilken version af Langflow vi kører?
Versionsnummeret kan typisk ses i systemets administrationspanel eller ved at køre en versionskommando i den container eller server, hvor Langflow er installeret. Er I i tvivl, kan jeres it-leverandør eller udvikler hjælpe med at slå det op.
Kan vi vente til weekenden med at opdatere?
Det anbefaler vi ikke. Sårbarheden kræver ingen login og kan udnyttes over netværket, og CVSS-scoren på 9,8 er blandt de højeste, der findes. Vent kun, hvis systemet i mellemtiden er fuldstændigt isoleret fra internettet og interne trusler.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer, at persondata rent faktisk er blevet tilgået eller kompromitteret via sårbarheden. Selve tilstedeværelsen af en sårbarhed uden konstateret misbrug udløser normalt ikke en anmeldelsespligt, men vi anbefaler at dokumentere jeres undersøgelse.
Hvad er en fastkodet loginoplysning?
Det er en adgangskode eller nøgle, som er skrevet direkte ind i softwarens kode i stedet for at blive genereret unikt for hver installation. Fordi værdien er ens hos alle, der bruger samme softwareversion, kan den udnyttes af enhver, der finder den, uanset hvilken kunde der er ramt.
Er sårbarheden udnyttet i praksis?
Der er ikke oplyst om aktiv udnyttelse på offentliggørelsesdatoen. Det ændrer ikke ved, at risikoen er høj, fordi svagheden er let at finde og misbruge, når den er offentligt kendt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
IBM Langflow OSS 1.0.0 through 1.10.1 contains hard-coded credentials, such as a password or cryptographic key, which it uses for its own inbound authentication, outbound communication to external components, or encryption of internal data.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.