AI 애플리케이션 개발 오픈소스 플랫폼인 Langflow에서 인증 없이 루트 권한으로 임의 코드를 실행할 수 있는 심각한 취약점(CVE-2026-0768)이 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 이용해 AWS 접근 키, OpenAI API 키, 관리자 인증 정보 등 민감한 자격증명을 환경변수에서 직접 탈취하고 있으며, 주로 러시아발 공격 시도가 360건 이상 관측되었습니다. 올해 들어 Langflow에서는 이 취약점 외에도 다수의 치명적 취약점이 연이어 실제 공격에 악용되었고, 이 중 3건(CVE-2026-55255·CVE-2026-9198·CVE-2026-0770)은 CISA의 실제 악용 확인 목록(KEV)에 등재되어 있습니다. Langflow를 운영 중인 조직은 즉시 최신 버전인 1.11.6으로 업그레이드해야 합니다.
Langflow 1.4.2 이하 버전의 커스텀 컴포넌트 편집기 코드 검증 엔드포인트에서 인증 우회 RCE(원격 코드 실행) 취약점(CVE-2026-0768)이 실제 공격에 악용되고 있으며, 영국 허니팟에서 360건 이상의 공격 시도가 확인되었다.
공격자가 루트 권한으로 임의 코드를 실행하고, AWS_ACCESS_KEY·AWS_SECRET·OPENAI_API 키·Langflow 관리자 인증 정보 등 클라우드 및 AI 서비스 자격증명을 대량 탈취한다. SSH 접근 이력 및 셸 히스토리도 수집 대상이다.
Langflow의 validate 엔드포인트가 사용자 입력값을 적절한 검증 없이 Python 코드로 직접 실행하는 구조적 결함이 원인이다. 인증도 요구하지 않아 공개 인터넷에 노출된 인스턴스는 즉시 피해 대상이 된다.
Langflow 최신 버전 1.11.6으로 즉시 업그레이드하면 알려진 모든 취약점이 해결된다. CISA는 CVE-2026-9198에 대한 별도 경고를 발령했다.
Langflow를 운영 중이라면 버전을 즉시 확인하고 1.11.6으로 업그레이드해야 한다. 업그레이드 전까지 인터넷 노출을 차단하고, 환경변수에 저장된 AWS·OpenAI 키 등 클라우드 자격증명의 유출 여부를 점검·교체하는 것이 필요하다.
본문
위협 행위자들이 AI 애플리케이션 구축 오픈소스 프레임워크인 Langflow의 인증되지 않은 원격 코드 실행(RCE) 취약점(CVE-2026-0768)을 악용해 자격증명, 토큰, 키를 탈취하고 있다.
이 보안 취약점은 치명적(critical) 심각도 등급을 받았으며, Langflow 커스텀 컴포넌트 편집기의 코드 검증기(code validator)에 존재한다.
위협 인텔리전스 기업 VulnCheck는 영국에 설치된 허니팟에서 이 활동을 탐지했다. 주말 동안 최소 50건의 공격 시도가 발생했으며, 공격 트래픽은 주로 러시아에서 유입되었다.
VulnCheck의 수석 보안 연구원 Caitlin Condon은 활동이 더욱 심화되어 오늘 기준 관측된 총 공격 횟수가 360건으로 늘었다고 밝혔다.
Condon에 따르면, 공격자는 정찰 활동을 수행하고 환경변수를 조회해 Langflow 인스턴스의 관리자 자격증명 또는 수퍼유저(superuser) 인증 키, AWS 시크릿, OpenAI API 키를 수집한다.
"공격자 요청은 환경변수(LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*)를 조회하고, /root/.cache/langflow/secret_key를 읽으며, .ssh 접근 여부와 .bash_history 크기를 확인하는 등 여러 작업을 수행하고 있다"고 Condon은 설명했다.
Langflow는 AI 애플리케이션, 에이전트, 챗봇, RAG(검색 증강 생성, Retrieval-Augmented Generation) 시스템을 구축하기 위한 오픈소스 Python 기반 로우코드(low-code) 플랫폼이다.
사용자는 그래픽 인터페이스에서 언어 모델, 프롬프트, 데이터베이스, API 등 다양한 도구를 위한 컴포넌트를 연결해 워크플로를 생성할 수 있다.
CVE-2026-0768 취약점은 1월에 공개되었으며, Langflow 버전 1.4.2 이하에 영향을 미친다. 인증 없이 루트 권한으로 임의 코드를 실행할 수 있게 한다.
"해당 결함은 validate 엔드포인트에 전달된 code 파라미터 처리 방식에 존재한다. 사용자 제공 문자열을 Python 코드로 실행하기 전에 적절한 검증이 이루어지지 않아 발생하는 문제다"라고 취약점 설명서는 기술하고 있다.
Trend Micro의 Zero Day Initiative도 사용자 제공 문자열을 Python 코드로 실행하기 전 적절한 검증이 부재하다는 점이 원인이라고 지적했다.
Condon은 현재 알려진 공개 개념 증명(PoC) 익스플로잇은 없다고 밝혔다.
CVE-2026-0768이 올해 악용된 첫 번째 Langflow 취약점은 아니다. 3월에 공격자들은 치명적 코드 인젝션 취약점인 CVE-2026-33017을 공개 후 약 하루 만에 악용해 Python 스크립트를 실행하고 .ENV 파일과 데이터베이스 파일을 수집하는 데 사용했다.
이후 CVE-2026-5027을 악용해 취약한 서버에 임의 파일을 쓰고, CVE-2026-55255를 이용해 다른 사용자의 AI 워크플로에 접근하고 민감한 데이터를 탈취하며 2단계 임플란트(second-stage implants)를 배포하는 공격이 이어졌다.
또한 공격자들은 CVE-2026-0770을 악용해 루트 권한으로 명령을 실행하고 악성코드 배포, 클라우드 자격증명, 환경변수, 컨테이너 메타데이터 탈취를 시도했다.
최근에는 CISA가 여러 개념 증명 익스플로잇이 공개된 이후 CVE-2026-9198이 악용되고 있다고 경고했다.
Langflow 사용자는 알려진 모든 취약점이 수정된 최신 버전 1.11.6으로 업그레이드할 것을 권고한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
