案例 langflow-cve-2026-33017-exploitedAI 供应链2026年3月25日全球

Langflow未认证RCE（CVE-2026-33017）在公告发布20小时内即遭利用

Langflow 1.9.0之前版本的一个公开流程构建端点无需登录即可运行攻击者提供的Python；Sysdig蜜罐在披露后一天内观察到扫描、侦察和环境变量窃取，CISA将其列入KEV。

严重针对 AI 的攻击状态: 已修补已核实案例档案

在交互式地图中打开引用此案例

报道日期: 2026年3月25日
地点: 全球
目标: Langflow AI流水线服务器
严重程度: 严重
发起者: 未知
行为者类型: 犯罪团伙
已报告损失: 未报告
CVE: CVE-2026-33017

发生了什么

影响: 在暴露的Langflow服务器上未经认证执行代码；攻击者转储环境变量并搜索.env和.db机密

谁发起了攻击

行为者: 未知

归因: Sysdig观察到六个来源IP，其中两个共享一台C2服务器；无具名组织

动机: 收集凭据并在AI流水线主机上建立立足点

如何发生

攻击途径: 向/api/v1/build_public_tmp/{flow_id}/flow发送单个POST请求，其中节点定义包含传给exec()的任意Python

根本原因: 端点在无身份验证的情况下构建流程，并信任攻击者控制的流程数据而非已存储的流程

时间线

2026年3月17日Langflow发布GHSA-vwmf-pq79-vjvx；在1.8.2和1.9.0中修复
2026年3月18日约20小时后出现首次利用尝试，随后是nuclei扫描和环境变量外泄
2026年3月25日CISA将CVE-2026-33017列入KEV目录

应对

升级至1.9.0或更高版本；Sysdig发布了IOC和回调域名

当前状态: 已修补

来源（在新标签页打开）

CISA KEV cisa.gov
Langflow advisory github.com
Sysdig sysdig.com

引用此案例

Langflow未认证RCE（CVE-2026-33017）在公告发布20小时内即遭利用. AI Threat Watch, 案例 langflow-cve-2026-33017-exploited, 2026年3月25日. https://aithreat.io/zh/cases/langflow-cve-2026-33017-exploited/

永久链接: https://aithreat.io/zh/cases/langflow-cve-2026-33017-exploited/