新聞

資安廠商揭露，低程式碼AI開發平臺Langflow一個風險值9.9的重大漏洞已觀測到超過3,400次漏洞利用嘗試。

Langflow是開源低程式碼開發平臺，讓開發人員能在視覺化介面運用整合工具開發AI應用及代理人。Langflow維護組織於本月5日公布CVE-2026-105740資安公告。本項漏洞可允許經過驗證的攻擊者透過MCP (Model Context Protocol)的Stdio傳輸功能注入任意系統指令，包括執行遠端程式碼。該漏洞影響1.9.0之前的版本。維護組織已發布Langflow 1.9.0更新版。

雖然CVE-2026-105740尚未被美國網路安全暨基礎設施安全局（CISA）列入已知受濫用漏洞（KEV）名冊，但資安業者Previdian根據第三方提供的證據以及該公司誘捕系統（Honeypot）感測器，判斷本項漏洞遭到濫用。

Previdian首先於9月19日觀測到其誘捕系統中該漏洞遭到試圖濫用，攻擊活動自10月11日起明顯增加。The Hacker News於10月15日報導時，Previdian誘捕系統偵測到針對CVE-2026-105740的試圖濫用活動為1,423次。截至10月22日上午，攻擊嘗試次數已增加至3,460次，攻擊流量來自31個IP位址，分布於臺灣、中國、香港、日本、韓國、新加坡、美國、德國等17個國家及地區。不確定這些IP流量所占比例，以及是否為伺服器被劫持或被當成中繼點。