Błąd w Langflow (CVE-2025-3248) pozwala każdemu z internetu wykonać kod na serwerze bez logowania. CISA potwierdza użycie w ransomware. Zaktualizuj Langflow do 1.3.0 lub nowszego albo go wyłącz i wymień zapisane klucze.
Ten alert jest dla zarządu, CTO i CFO firm, w których ktoś testował lub używa Langflow do budowania asystentów i przepływów opartych na sztucznej inteligencji. Werdykt: jeśli gdziekolwiek działa Langflow w wersji starszej niż 1.3.0, wyłącz go albo zaktualizuj dziś (najlepiej do najnowszej wersji), bo luka pozwala każdemu z internetu uruchomić kod na serwerze, a CISA potwierdza jej użycie w atakach ransomware.
Amerykańska agencja CISA 5 maja 2025 roku dopisała podatność CVE-2025-3248 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Langflow, otwartego narzędzia do składania aplikacji AI z gotowych klocków. Adres /api/v1/validate/code, który miał sprawdzać poprawność kodu, wykonywał przysłany kod i nie pytał o logowanie. Każdy, kto mógł wysłać zapytanie, mógł uruchomić dowolne polecenia na serwerze.
CISA oznaczyła lukę jako używaną w kampaniach ransomware, a wskaźnik EPSS wynosi 0,99996, praktycznie maksimum skali. Szczególny problem: Langflow instaluje się zwykle ręcznie, poza systemowymi aktualizacjami, więc nikt go nie zaktualizuje za firmę. Termin CISA minął 26 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-3248 (w europejskiej bazie ENISA: EUVD-2025-10011; GitHub: GHSA-c995-4fw3-j39m) |
Data dodania do CISA KEV | 2025-05-05 |
Termin naprawy wg CISA | 2025-05-26 (21 dni od wpisu) |
Produkt | Langflow (projekt open source), punkt |
Wersje zagrożone | Wszystkie wersje starsze niż 1.3.0 |
Wersje bezpieczne | 1.3.0 (pierwsza z poprawką) lub nowsza; najnowsze wydanie w dniu publikacji alertu: 1.12.2 (16 września 2026 roku) |
Typ podatności | Brak uwierzytelnienia dla funkcji krytycznej i wstrzyknięcie kodu; CWE-306 (KEV, VulnCheck, NVD) oraz CWE-94 (NVD) |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). VulnCheck: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Ubuntu oznaczył wpis jako niedotyczący pakietów dystrybucji, a Debian i Red Hat nie mają dla niego pakietów. Aktualizacje systemu operacyjnego tej luki nie usuną.
Wyobraź sobie biuro tłumaczeń, które przy wejściu ma skrzynkę „prześlij tekst do sprawdzenia”. Każdy może wrzucić kartkę, bez podpisu i bez legitymacji. Tyle że pracownik nie sprawdza tekstu, czytając go, tylko wykonuje to, co jest na kartce napisane. Jeśli ktoś wrzuci „otwórz sejf i wynieś dokumenty”, pracownik to zrobi.
Tak działał ten błąd. Langflow pozwala budować przepływy AI, a punkt sprawdzania kodu miał pomagać użytkownikowi ocenić, czy jego krok zadziała. Zamiast czytać kod, uruchamiał go, i nie sprawdzał, kto go przysłał. Napastnik wysyła spreparowane zapytanie i dostaje możliwość uruchamiania poleceń na serwerze z uprawnieniami, z jakimi działa Langflow. A takie narzędzia często są stawiane „na próbę”, wystawione do internetu i zapomniane.
💡 Langflow to narzędzie do składania aplikacji opartych na modelach językowych (AI) z gotowych bloków. Endpoint to konkretny adres w aplikacji, który przyjmuje zapytania. Wstrzyknięcie kodu oznacza, że program wykonuje przysłany z zewnątrz tekst jako polecenia. Brak uwierzytelnienia oznacza, że funkcja nie sprawdza, kto jej używa. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła zapytanie do Langflow | Wymagane logowanie | Brak logowania dla punktu sprawdzania kodu |
Przesłany fragment kodu | Tylko analizowany | Wykonywany na serwerze |
Serwer testowy „na chwilę” | Wyłączony po testach | Działa miesiącami, widoczny z internetu |
Aktualizacje systemu operacyjnego | Łatają oprogramowanie serwera | Nie obejmują Langflow zainstalowanego ręcznie |
Serwer testowy w sieci firmowej | Odizolowany eksperyment | Punkt wejścia do serwera plików i reszty sieci |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału pracownika, a CISA ocenia go jako w pełni automatyzowalny: napastnicy skanują internet i atakują każdą odpowiadającą instancję, niezależnie od wielkości firmy. Szczegóły techniczne błędu opisali publicznie badacze Horizon3.ai.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie instancji Langflow w internecie | Lista serwerów z odpowiadającym punktem validate/code |
2. Wykonanie kodu | T+sekundy | Wysłanie spreparowanego zapytania bez logowania | Polecenia napastnika działają na serwerze |
3. Kradzież sekretów | T+minuty | Odczyt kluczy API do modeli AI, haseł do baz danych i dokumentów podłączonych do przepływów | Dostępy do innych usług firmy |
4. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu | Stały dostęp do serwera |
5. Ruch w głąb sieci | T+dni | Przejście z serwera testowego na serwer plików i inne systemy w tej samej sieci | Szerszy dostęp |
6. Ransomware | T+dni do tygodni | Szyfrowanie danych i żądanie okupu (CISA: luka znana z kampanii ransomware) | Przestój i szantaż |
Mogę Ci jakoś pomóc?
Narzędzia AI trafiają do firm oddolnie: ktoś je testuje, wystawia do internetu i zapomina. Nie ma ich w spisie systemów, nikt ich nie monitoruje ani nie aktualizuje. Ta luka daje każdemu z internetu wykonanie kodu na takim serwerze, a skoro serwer stoi w firmowej sieci, zasięg ataku wyznacza sieć, a nie przeznaczenie serwera.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery w tej samej sieci, zatrzymane usługi | Dni | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież kluczy API, haseł i dokumentów podłączonych do przepływów AI | Minuty | 30 tys. do 250 tys. PLN (analiza powłamaniowa, zmiana dostępów) |
Finansowy | Okup, rachunki za nadużyte klucze API do modeli AI, koszty specjalistów | Dni do tygodni | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Wyciek danych klientów wykorzystywanych w asystencie AI | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Langflow starszym niż 1.3.0
dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne (wykonanie kodu bez logowania, atak w pełni automatyzowalny, EPSS 0,99996, potwierdzone użycie w ransomware); firma bez Langflow lub z wersją 1.3.0 i nowszą jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy ktokolwiek w firmie uruchomił Langflow (także na wynajętych serwerach w chmurze i komputerach testowych) | Dziś | CTO / dział IT |
2 | 🔴 NATYCHMIAST | Instancje nieużywane wyłączyć, używane zaktualizować do najnowszej wersji (minimum 1.3.0) | Dziś | Autor instalacji / dział IT |
3 | 🔴 NATYCHMIAST | Zablokować dostęp do Langflow z internetu; udostępniać tylko przez VPN lub z sieci wewnętrznej | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Na serwerach, gdzie działała podatna wersja: sprawdzić procesy, zadania, konta i pliki pod kątem śladów włamania | Do 2 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Unieważnić i wymienić klucze API, hasła i tokeny zapisane w konfiguracji i przepływach Langflow | Do 2 dni | Autor instalacji / dział IT |
6 | 🟠 PILNIE | Odseparować serwery testowe od sieci z danymi produkcyjnymi | Do 7 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Spisać wszystkie usługi dostępne z internetu, z właścicielem i datą ostatniej aktualizacji | Do 30 dni | CTO |
Projekt Langflow wydał poprawkę w wersji 1.3.0 i kolejnych. Żadne dostępne źródło nie opisuje obejścia konfiguracyjnego. Jeśli aktualizacja musi poczekać, pozostają miary ograniczające dostęp; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie instancji Langflow | Wysoka: usuwa podatną usługę | Łatwa |
Blokada dostępu z internetu, dostęp tylko przez VPN | Wysoka wobec skanowania masowego, nie chroni przed atakiem z wnętrza sieci | Łatwa |
Blokada adresu | Średnia: ogranicza znany wektor, może psuć funkcje edytora | Średnia |
Uruchomienie Langflow w odizolowanym środowisku z minimalnymi uprawnieniami | Średnia: ogranicza skutki, nie blokuje ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Instancje Langflow | Nieznane, postawione „na próbę” | Spisane, zaktualizowane lub wyłączone |
Dostęp z internetu | Otwarty dla każdego | Tylko przez VPN lub z sieci wewnętrznej |
Klucze API i hasła w przepływach | Potencjalnie skradzione | Unieważnione i wymienione |
Serwery testowe | W tej samej sieci co dane produkcyjne | Odseparowane |
Zgodność z wymogami | Prawie 16 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak w pełni automatyzowalny, wpływ całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w pobranych źródłach |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i VulnCheck (CVSS 3.1) |
PoC dostępny publicznie? | Szczegółowy opis techniczny błędu opublikowali badacze Horizon3.ai; NVD odsyła też do opisu VulnCheck |
Liczba atakowanych firm | Brak publicznych informacji |
Dystrybucje Linuksa | Ubuntu: nie dotyczy pakietów; Debian i Red Hat: brak pakietów. Aktualizacja wyłącznie ręczna |
Prognoza EPSS | 0,99996, percentyl 99,988 (ENISA zaokrągla do 100%) (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-3248
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (prawdopodob.) ~100% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
Mogę Ci jakoś pomóc?
2025-04-07 Publikacja CVE-2025-3248 w NVD i porady GitHub, poprawka w 1.3.0
2025-05-05 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-05-26 Termin naprawy wg CISA dla agencji federalnych
2026-07-14 Ostatnia aktualizacja wpisu w NVD
2026-09-16 Najnowsze wydanie Langflow: 1.12.2
... prawie 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Porada bezpieczeństwa GitHub z wersją poprawioną: github.com/advisories/GHSA-c995-4fw3-j39m . Wydanie z poprawką: github.com: Langflow 1.3.0 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-3248 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać zespoły (IT, analitykę, marketing, sprzedaż), czy ktoś uruchamiał Langflow lub podobne narzędzia AI | CTO | DZISIAJ |
2 | Zatwierdzić wyłączenie nieużywanych instancji i blokadę dostępu z internetu | CTO | DZISIAJ |
3 | Zlecić wymianę kluczy API i haseł używanych w przepływach AI | CTO | DZISIAJ |
4 | Sprawdzić rachunki za usługi modeli AI pod kątem nietypowego zużycia | CFO | DO JUTRA |
5 | Zlecić sprawdzenie serwerów z podatną wersją pod kątem śladów włamania | CTO | DO JUTRA |
6 | Wprowadzić zasadę: żadna usługa nie jest wystawiana do internetu bez wpisu do spisu systemów | CTO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w firmie lub na wynajętych serwerach działa Langflow? | TAK / NIE | 🔴 |
2 | Jaka jest wersja każdej instancji Langflow? | [wersja] | 🔴 |
3 | Czy którakolwiek instancja jest dostępna z internetu? | TAK / NIE | 🔴 |
4 | Jakie klucze API i hasła są zapisane w przepływach Langflow? | [lista] | 🟠 |
5 | Czy serwer z Langflow jest w tej samej sieci co serwer plików lub bazy produkcyjne? | TAK / NIE | 🟠 |
6 | Kto zainstalował każdą instancję i kto odpowiada za jej aktualizacje? | [osoba] | 🟠 |
7 | Kiedy ostatnio spisywaliśmy wszystkie usługi dostępne z internetu? | [data] | 🟡 |
CVE-2025-3248 pozwala każdemu z internetu uruchomić kod na serwerze z Langflow starszym niż 1.3.0, a CISA potwierdza użycie tej luki w atakach ransomware. Ponieważ Langflow instaluje się ręcznie i nie obejmują go aktualizacje systemu, zadaniem na dziś jest znalezienie wszystkich instancji, ich wyłączenie lub aktualizacja, blokada dostępu z internetu i wymiana zapisanych w nich kluczy.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.