Betroffene Einrichtungen
Bereich
CVE-2026-8635 betrifft IBM Langflow OSS in den Versionen 1.0.0 bis 1.10.0 und ermöglicht authentifizierten Nutzern, durch direkte Manipulation der zugrunde liegenden Datenbank ihre Rechte auf Superuser-Ebene zu eskalieren, beliebige Systembefehle auszuführen und die vollständige Kontrolle über den Langflow-Dienst zu übernehmen. Der CVSS-Score von 9.9 unterstreicht die kritische Schwere dieser Schwachstelle, da ein Angreifer mit einfachen Nutzerrechten eine vollständige Systemkompromittierung erreichen kann. Sofern Langflow im Klinikumfeld als KI- oder Automatisierungsplattform – etwa zur Datenverarbeitung oder Anbindung klinischer Systeme – betrieben wird, besteht das Risiko, dass Angreifer auf Patientendaten zugreifen, kritische Dienste wie KIS oder LIS kompromittieren oder Ransomware einschleusen. Angesichts der plattformübergreifenden Betroffenheit (Linux, macOS, Windows) und des extrem hohen CVSS-Scores ist sofortiges Handeln – Patchen oder Isolieren der Instanz – dringend geboten.
1 IBM Langflow OSS sofort auf eine Version außerhalb des betroffenen Bereichs 1.0.0–1.10.0 aktualisieren bzw. den Hersteller-Advisory zu verfügbaren Patches prüfen und bis zur Verfügbarkeit eines Patches den Zugang zu Langflow auf vertrauenswürdige, authentifizierte Nutzer via Netzwerksegmentierung strikt einschränken.
2. Datenbankzugriffe für Langflow-Nutzer auf das notwendige Minimum beschränken (Least-Privilege-Prinzip) und direkte Datenbankmanipulation durch Applikationsnutzer technisch unterbinden – insbesondere Schreibrechte auf Benutzerverwaltungs- und Rollentabellen entfernen.
3. Laufende Überwachung der Langflow-Instanz einrichten: System- und Datenbankprotokolle auf unerwartete Privilege-Escalation-Ereignisse, neue Superuser-Konten und ungewöhnliche Befehlsausführungen (Systemaufrufe) prüfen.
4. Prüfen, ob Langflow in produktiven Umgebungen mit klinischen Daten (KIS-Anbindung, LIS, PACS) oder auf Systemen mit Patientendaten betrieben wird – ggf. Instanz isolieren oder abschalten bis zur Behebung.
5. Vorfall- und Risikodokumentation gemäß KRITIS-/NIS2-Anforderungen anlegen; bei Verdacht auf aktive Ausnutzung Meldung an BSI (DE) bzw. BACS (CH) oder CERT.at (AT) vorbereiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja