Langflow CVE-2026-105740: รหัสผ่านอ่อนโดนโจมตี 1,706 ครั้งใน Honeypot

นักวิจัยจาก Previdian พบว่า honeypot ของพวกเขาถูกโจมตีด้วยช่องโหว่ CVE-2026-105740 ใน Langflow ถึง 1,423 ครั้งตั้งแต่ 19 ก.ย. 2026 และตัวเลขเพิ่มขึ้นเป็น 1,706 ครั้งจาก 28 IP ที่แตกต่างกันเมื่อข้อมูลอัพเดทล่าสุด (The Hacker News) (Previdian) ช่องโหว่นี้มีคะแนน CVSS สูงถึง 9.9 ทำให้นักพัฒนาที่ใช้ Langflow สร้าง AI agent แบบลากวางเสี่ยงถูกแฮกเซิร์ฟเวอร์ได้แม้จะต้องล็อกอินก่อนก็ตาม

Langflow เป็นเครื่องมือ open-source ที่ช่วยให้คนทั่วไปสร้างแอพพลิเคชัน AI และ workflow ของเอเจนต์ได้โดยไม่ต้องเขียนโค้ดเยอะ บริษัท DataStax ซึ่งเป็นเจ้าของถูก IBM ซื้อกิจการไปเมื่อกุมภาพันธ์ 2025 (The Hacker News) ปัญหาคือใครที่มีบัญชีใน Langflow (แม้ไม่ใช่แอดมิน) ก็สามารถทำให้เซิร์ฟเวอร์รันคำสั่งอะไรก็ได้ผ่านฟีเจอร์ MCP stdio server

สรุป 30 วินาที: เกิดอะไรขึ้น

CVE-2026-105740 เป็นช่องโหว่ authenticated remote code execution (RCE) ใน Langflow เวอร์ชันก่อน 1.9.0 ผู้ใช้ที่ล็อกอินได้สามารถเพิ่ม MCP server แบบ stdio แล้วใส่คำสั่งอันตรายเข้าไป คำสั่งนั้นจะถูกส่งตรงไปยัง bash -c โดยไม่มีการตรวจสอบใดๆ เมื่อระบบโหลดรายชื่อเซิร์ฟเวอร์คำสั่งจะรันทันที (GitHub Advisory GHSA-7w94-79vh-5mr2) (OSV)

Previdian honeypot เริ่มเห็นการโจมตีตั้งแต่ 19 ก.ย. 2026 และปริมาณพุ่งสูงขึ้นตั้งแต่ 11 ต.ค. 2026 โดยวันที่ 15 ต.ค. มีถึง 316 ครั้ง (The Hacker News) นอกจากนี้ยังเกี่ยวข้องกับ CVE-2026-105697 ที่แก้ไขเต็มที่ในเวอร์ชัน 1.10.3 (GitHub Advisory GHSA-w794-rj3p-xv45)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเป็นเจ้าของธุรกิจเล็กที่ใช้ Langflow ช่วยสร้าง chatbot ให้ลูกค้า หรือพนักงานออฟฟิศที่กำลังทดลอง AI agent เพื่อลดงาน routine เรื่องนี้กระทบคุณตรงๆ เพราะเซิร์ฟเวอร์ที่โดนอาจรั่วข้อมูลลูกค้า สูญเสียเงินจาก downtime หรือถูกโจมตีต่อเนื่องจนเครื่องค้าง

สำหรับนักพัฒนา Python ที่ใช้ Langflow สร้าง flow AI การที่ “authenticated” ยังไม่ปลอดภัยเมื่อคนใช้รหัสผ่านง่ายๆ แบบที่ attacker ใช้จริงในการโจมตี honeypot ทำให้ทุกคนที่เปิด Langflow ไว้บนเน็ตต้องระวังเป็นพิเศษ (The Hacker News)

ทำงานยังไง

MCP stdio server คือส่วนที่ให้ AI agent ใน Langflow สามารถสั่งการโปรแกรมบนเครื่องเซิร์ฟเวอร์ได้แบบเรียลไทม์ คิดง่ายๆ เหมือนให้ AI เป็นคนใช้คอมพิวเตอร์แทนเรา แต่ปัญหาคือช่องทางนี้ยอมรับคำสั่งอะไรก็ได้โดยไม่กรอง

เมื่อผู้ใช้ล็อกอินแล้วส่งคำสั่งผ่าน API ไปยัง /api/v2/mcp/servers คำสั่งนั้นจะถูกเก็บไว้และรันเมื่อมีคนเปิดหน้ารายชื่อเซิร์ฟเวอร์ (โดยเฉพาะกับพารามิเตอร์ action_count=true) แถมยังสามารถแทรก environment variable เช่น LD_PRELOAD เพื่อโหลดโค้ดอันตรายได้ด้วย (GitHub Advisory GHSA-7w94-79vh-5mr2)

เปรียบเทียบง่ายๆ แบบบ้านๆ: เหมือนมีกลุ่มไลน์ครอบครัวที่ให้สมาชิกทุกคน (แม้เด็กๆ) ส่งลิงก์มาในกลุ่มได้โดยไม่ตรวจสอบ แล้วลิงก์นั้นกลับเปิดประตูบ้านอัตโนมัติทันทีที่ใครกดดูรายชื่อสมาชิกในกลุ่ม แม้จะเป็น “สมาชิกแท้” แต่ถ้ารหัสผ่านกลุ่มง่ายก็อันตรายทั้งบ้าน

การโจมตีที่เห็นจริงใน honeypot มักเริ่มด้วยการเช็คเวอร์ชัน Langflow พยายามใช้ auto_login (ซึ่งถูกปิดใน honeypot) แล้วล็อกอินด้วย username-password คู่ทั่วไปก่อนใช้ token ไปเพิ่ม MCP server (The Hacker News)

จุดหักมุม: Authenticated ไม่ได้หมายความปลอดภัย

สิ่งที่ทำให้หลายคนตกใจคือช่องโหว่นี้ต้องการการล็อกอินก่อน แต่ attacker กลับใช้รหัสผ่านเริ่มต้นหรือรหัสอ่อนที่คนส่วนใหญ่ยังใช้อยู่ การที่ MCP config ถูกเก็บใน project settings และไม่แสดงใน flow editor ปกติยิ่งทำให้ admin มองไม่เห็นภัยเงียบนี้ (GitHub Advisory GHSA-7w94-79vh-5mr2)

ยิ่งไปกว่านั้น config ที่เป็นอันตรายจะรันซ้ำทุกครั้งที่มีคนเปิดหน้า MCP settings แม้แต่ admin เองก็ตาม (Previdian)

เรื่องเงิน / ผลกระทบ

การถูก RCE อาจทำให้ attacker อ่านไฟล์ /etc/passwd ดึง environment variable ที่มี LANGFLOW_SECRET_KEY หรือรหัสผ่าน superuser ส่งข้อมูลออกไปนอกเครื่อง (The Hacker News) ผลคือข้อมูลธุรกิจรั่ว ถูกเรียกค่าไถ่ หรือถูกใช้เป็นฐานโจมตีเครื่องอื่นในเครือข่าย

สำหรับธุรกิจไทยที่ใช้ Langflow ช่วยงานขายของออนไลน์หรือบริการลูกค้า การ downtime แม้แค่ไม่กี่ชั่วโมงก็เสียรายได้โดยตรง นอกจากนี้ยังมีค่าใช้จ่ายซ่อมแซมระบบและตรวจสอบ log ที่อาจกินเวลาหลายวัน

Previdian รายงาน attacker มาจากหลายประเทศรวมทั้งจีน รัสเซีย สหรัฐฯ และประเทศในเอเชียตะวันออกเฉียงใต้ แต่ไม่ใช่ทุก IP ที่ซ้ำกันทุกวัน บางวันพุ่งสูงถึง 316 ครั้ง (Previdian) (The Hacker News)

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ตัวเลขการโจมตีมี variation เล็กน้อย: The Hacker News รายงาน 1,423 ครั้งก่อนอัพเดทเป็น 1,706 ครั้ง (The Hacker News) ขณะที่ Previdian หน้าเว็บแสดง 1,757 attempts เมื่ออัพเดท 16 ต.ค. 2026 (Previdian) อาจเพราะเวลาอัพเดทข้อมูลต่างกันเล็กน้อย

advisory บางแห่งระบุ fixed in 1.9.0 สำหรับ CVE-2026-105740 แต่ advisory อีกแห่งชี้ว่าต้องรอถึง 1.10.3 จึงแก้ไขทั้งกระบวนการรวมถึง config ที่ฝังใน flow ด้วย (GitHub Advisory GHSA-7w94-79vh-5mr2) (GitHub Advisory GHSA-w794-rj3p-xv45)

ไม่ชัดเจนว่าผู้โจมตีมีเป้าหมายสุดท้ายคืออะไร นอกจากการทดสอบและดึงข้อมูล environment variable

แล้วเราควรทำอะไร

สำหรับคนทั่วไปและธุรกิจเล็ก:

1. เช็คว่า Langflow เวอร์ชันปัจจุบันเป็น 1.10.3 หรือสูงกว่า ถ้ายังต่ำกว่านั้นให้อัพเกรดด่วนที่สุด
2. ตั้ง LANGFLOW_AUTO_LOGIN=false ทันทีและปิดการล็อกอินอัตโนมัติ
3. เปลี่ยนรหัสผ่านทุกบัญชีเป็นรหัสที่แข็งแรงและไม่ซ้ำกัน
4. อย่าเปิด Langflow ตรงๆ ต่ออินเทอร์เน็ต ต้องมี VPN หรือ SSO ก่อนเสมอ

สำหรับทีม IT และนักพัฒนา:

1. อัพเกรด Langflow เป็นอย่างน้อย 1.10.3 (releaseVersion ที่แก้ไข CVE-2026-105697 ครบถ้วน) และอ่าน release note อย่างละเอียด
2. ตรวจสอบ log หา request ไปยัง /api/v2/mcp/servers และการล็อกอินผิดปกติ
3. หมุนเวียน secret key และ environment variable ที่เก็บใน Langflow ทันทีหลังอัปเกรด แล้วตั้งรอบเปลี่ยนเป็นประจำ
4. ใช้ container isolation ถ้าเป็นไปได้ และ monitor การใช้งาน MCP server อย่างใกล้ชิด
5. หากยังอัพเกรดไม่ได้ ให้ตั้งค่าตาม workaround ใน advisory (GitHub Advisory GHSA-w794-rj3p-xv45)

ดูรายละเอียด CVE ที่เกี่ยวข้องเพิ่มเติมได้ที่ บทความเก่าของเราเรื่อง CVE-2026-105697

ผมมองว่า…

ผมมองว่าเรื่องนี้เป็นตัวอย่างชัดเจนที่ authenticated ไม่ใช่คำว่า “ปลอดภัย” แต่คือ “ปลอดภัยเฉพาะเมื่อคุณจัดการรหัสผ่านและการเปิดเผยระบบอย่างถูกต้อง” การที่ honeypot ถูกโจมตีหนักขนาดนี้แสดงให้เห็นว่า attacker กำลังสแกนหา Langflow ที่เปิดทิ้งไว้ทั่วโลกอย่างเป็นระบบ

ปิดท้าย: สิ่งที่ต้องจับตา

จับตาการโจมตีที่อาจเพิ่มขึ้นหลังข่าวออกไป เพราะ THN และ Previdian เปิดเผยรายละเอียดแล้ว นอกจากนี้ยังต้องติดตามว่า Langflow จะมี hardening เพิ่มสำหรับ multi-tenant deployment ในเวอร์ชันถัดๆ ไปหรือไม่ และดูว่า CISA จะใส่ CVE นี้ใน KEV catalog หรือเปล่า

Recap

• อัพเกรด Langflow เป็น 1.10.3 หรือใหม่กว่า
• ปิด LANGFLOW_AUTO_LOGIN และใช้รหัสผ่านแข็งแรง
• อย่าเปิด Langflow ตรงๆ ต่ออินเทอร์เน็ต
• ตรวจสอบ log หา traffic ผิดปกติที่เกี่ยวข้องกับ MCP
• หมุนเวียน secret และ environment variables
• แชร์บทความนี้ให้เพื่อนที่ใช้ AI tools ด้วยครับ