무슨 일이 있었나
CVE-2026-105740 (CVSS 9.9, CWE-78) — 1.9.0 이전 버전에서 인증된 모든 Langflow 사용자는 'Stdio' 전송 방식을 사용하는 MCP 서버를 추가하여 RCE를 달성할 수 있음: 사용자가 제공한 명령 필드는 허용 목록이나 샌드박싱 없이 bash -c로 직접 전달되어 MCP 서버 목록을 가져올 때 Langflow 프로세스로 실행됨; env 필드는 LD_PRELOAD/PATH 주입을 가능하게 함. Previdian 허니팟은 2026년 9월 19일 이후 17개국 27-28개 IP에서 1,423건 이상(1,706건으로 증가)의 악용 시도를 기록했으며, 10월 11일과 10월 15일에 시도가 급격히 증가함 — 페이로드는 LANGFLOW_SECRET_KEY/슈퍼유저 비밀번호와 /etc/passwd를 수집함. 관찰된 공격자 패턴(버전 확인, auto_login 시도, 약한 자격 증명 무차별 대입, MCP 구성 엔드포인트로 피벗)은 기본 배포에서 취약점이 실제로 도달 가능함을 보여줌.
왜 중요한가
이번 기간의 대표적인 AI 에이전트 공급/도구 손상 사례: 주류 AI 에이전트 워크플로우 빌더에서 발생한 치명적이고 실제 악용된 RCE로, 특히 MCP 통합 레이어를 통해 남용됨. 손상 시 전체 서버 장악, 환경 변수 도용(LLM 비밀), 측면 이동 및 MCP 구성이 프로젝트 설정에 숨겨져 있어 플로우 검토를 통과하는 지속성이 가능함. 노출된 Langflow를 실행하는 AI 팀은 이를 활성 인시던트 수준의 패치 우선순위로 취급해야 함.
공격 경로
인증된(또는 공격자가 입증한 관대한 auto-login/약한 자격 증명을 통한) 비관리자 사용자가 명령 필드가 포함된 조작된 MCP 서버 구성을 /api/v2/mcp/servers/{name}에 POST함; 서버 목록을 가져올 때 명령이 bash -c를 통해 실행됨. env 필드는 LD_PRELOAD/PATH 주입을 허용함. 악성 구성은 지속되며 서버 목록이 로드될 때마다 재실행됨.
영향받는 시스템
Langflow < 1.9.0 (MCP stdio 전송 MCP 서버 구성)
완화 방안
Langflow ≥ 1.9.0으로 업그레이드(1.10.3에서 최종 강화); LANGFLOW_AUTO_LOGIN=false 설정; 신뢰할 수 없는 네트워크에 노출하지 않음; 로그에서 POST /api/v2/mcp/servers/ 모니터링. GHSA-7w94-79vh-5mr2 및 2026-10-15일자 The Hacker News 권고 참조.