Wie einfach ist es heute, eine KI-Agenten-Plattform oder einen Java-Application-Server zur Türöffner für Angreifer zu machen? Eine einzige Konfigurationslücke reicht oft aus – und genau das hat die U.S. Cybersicherheitsbehörde CISA am 4. August 2026 eindrücklich bewiesen. In ihrem Known Exploited Vulnerabilities-Katalog wurden drei aktive Schwachstellen aufgenommen, darunter zwei Highlights: CVE-2026-9198 in IBMs visueller KI-Agenten-Oberfläche Langflow mit einem CVSS-Score von 9,8 und CVE-2026-34486 im Apache Tomcat-Cluster-Stack mit einem CVSS-Score von 7,5. Beide werden laut The Hacker News, BleepingComputer und Sicherheitsforschern von Palo Alto Networks Unit 42 sowie SOCRadar in echten Angriffen missbraucht – teilweise von einer chinesischsprachigen Gruppe, die DeepSeek-gestützte KI-Agenten als offensive Waffe einsetzt.

Quellen und Details: CISA KEV-Katalog, NVD CVE-2026-9198 und CVE-2026-34486, The Hacker News CISA-Flags-Langflow-Tomcat-Artikel, BleepingComputer CISA-warns-Hackers-Exploiting, Palo Alto Unit 42 Autonomous AI Cyber Attack Campaign und SOCRadar SNOWLIGHT-Analyse.

Was ist passiert?

Am 4. August 2026 hat die Cybersecurity and Infrastructure Security Agency (CISA) drei neue Schwachstellen in ihren KEV-Katalog aufgenommen. Darunter befinden sich zwei besonders kritische Einträge: CVE-2026-9198 in IBM Langflow und CVE-2026-34486 in Apache Tomcat. Beide Schwachstellen ermöglichen es entfernten, nicht authentifizierten Angreifern, die Kontrolle über betroffene Systeme zu übernehmen oder sensible Daten zu kompromittieren. Die CISA setzte für beide Schwachstellen eine Handlungsfrist bis zum 7. August 2026 – ein klares Signal, dass es sich nicht um theoretische Risiken, sondern um aktiv ausgenutzte Angriffsvektoren handelt.

Zeitgleich veröffentlichten Sicherheitsforscher von Palo Alto Networks Unit 42 und SOCRadar Berichte über eine chinesischsprachige Bedrohungsgruppe, die diese Schwachstellen in einer hybriden Angriffskampagne einsetzt. Der Akteur mit dem Alias „knaithe“ oder „KnYuan“ aus Zhuhai kombiniert manuelle Techniken mit einem KI-gesteuerten Agenten-Framework namens Hermes, das auf DeepSeek aufbaut. Über 460 Ziele weltweit wurden bereits identifiziert – darunter Regierungs- und kommerzielle Infrastrukturen in mehr als 100 Ländern.

CVE-2026-9198: Die Langflow-Code-Injection

Die Schwachstelle CVE-2026-9198 betrifft die Open-Source-Plattform Langflow in den Versionen 1.0.0 bis einschließlich 1.10.0. Langflow ist ein visuelles Framework zum Erstellen von KI-Agenten und RAG-Anwendungen (Retrieval-Augmented Generation). Die Plattform erfreut sich wachsender Beliebtheit bei Entwicklern, die komplexe KI-Workflows ohne tiefgreifende Programmierkenntnisse umsetzen möchten. Genau diese Zugänglichkeit macht die Plattform nun zum Einfallstor für Angreifer.

Der vom National Institute of Standards and Technology (NVD) vergebene CVSS-Score von 9.8 (Kritisch) unterstreicht die Schwere der Schwachstelle. Der Angriffsvektor ist netzwerkbasiert, die Angriffskomplexität gering, und es sind weder Authentifizierung noch Benutzerinteraktion erforderlich. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als „Hoch“ eingestuft. Konkret liegt eine Code-Injection-Schwachstelle (CWE-94) vor, die es Angreifern erlaubt, beliebigen Code auf dem betroffenen System auszuführen.

Technische Details der Langflow-Schwachstelle

Der Angriffspfad ist zweistufig und besonders perfide. Im ersten Schritt nutzt der Angreifer den Endpunkt /api/v1/auto_login, um sich ohne jegliche Authentifizierung einen SUPERUSER-Token zu beschaffen. Dieser Endpunkt ist standardmäßig für jeden Netzwerk-Caller erreichbar und erfordert keine vorherige Anmeldung. Mit dem erhaltenen Token kann der Angreifer anschließend den Endpunkt /api/v1/validate/code ansprechen, der die eigentliche Codeausführung ermöglicht. Über diesen Endpunkt wird beliebiger Code mittels der PHP-Funktion exec() ausgeführt – ein klassisches Remote Code Execution (RCE)-Szenario.

IBM hat die Schwachstelle mit der Veröffentlichung von Langflow 1.10.1 im Juli 2026 behoben. Die CISA-Aufnahme in den KEV-Katalog erfolgte jedoch erst am 4. August 2026, nachdem aktive Exploit-Versuche in freier Wildbahn beobachtet wurden. Die Handlungsfrist bis zum 7. August 2026 verdeutlicht die Dringlichkeit: Unternehmen, die Langflow in den betroffenen Versionen einsetzen, müssen innerhalb von drei Tagen patchen oder die Instanz vom Netz nehmen.

CVE-2026-34486: Apache Tomcat und der fehlende Verschlüsselungsschutz

Die zweite kritische Schwachstelle betrifft Apache Tomcat, einen der weltweit am häufigsten eingesetzten Java-Application-Server. Betroffen sind die Versionen 11.0.20, 10.1.53 und 9.0.116. Der CVSS-Score liegt bei 7.5 (Hoch), was auf den ersten Blick weniger dramatisch erscheint als die Langflow-Lücke. Die technischen Details offenbaren jedoch ein ernstzunehmendes Problem: Der EncryptInterceptor, der die Kommunikation zwischen Cluster-Knoten mittels eines Pre-Shared-Keys absichern soll, kann unter bestimmten Bedingungen umgangen werden.

Die Schwachstelle wird als „Missing Encryption of Sensitive Data“ klassifiziert. In einer Tomcat-Cluster-Umgebung, die den EncryptInterceptor zur Verschlüsselung der Inter-Cluster-Kommunikation verwendet, können Angreifer diesen Schutzmechanismus aushebeln. Dadurch werden potenziell sensible Daten wie Session-Informationen oder Authentifizierungs-Token im Klartext übertragen und können von Angreifern abgefangen werden. Die betroffenen Versionen wurden im April 2026 durch die Releases 11.0.21, 10.1.54 und 9.0.117 gepatcht.

Auswirkungen auf Cluster-Umgebungen

Die Schwachstelle ist besonders für Unternehmen kritisch, die Apache Tomcat in geclusterten Umgebungen betreiben. In solchen Setups teilen sich mehrere Tomcat-Instanzen Session-Informationen über ein internes Netzwerk. Der EncryptInterceptor soll diese Kommunikation durch einen gemeinsamen Pre-Shared-Key schützen. Gelingt es einem Angreifer, diesen Schutz zu umgehen, kann er Session-Daten abfangen und manipulieren. In der Folge sind Session-Hijacking, Identitätsdiebstahl und die unbefugte Übernahme von Benutzersitzungen möglich.

Die CISA hat auch diese Schwachstelle mit einer Handlungsfrist von nur drei Tagen versehen. Die Aufnahme in den KEV-Katalog erfolgte am 4. August 2026, obwohl der Patch bereits seit April verfügbar war. Dies deutet darauf hin, dass viele Organisationen das Update nicht rechtzeitig eingespielt haben und nun aktiv angegriffen werden.

Die Angreifer: KI-gestützte Kampagnen mit DeepSeek

Zeitgleich mit den CISA-Warnungen veröffentlichte Palo Alto Networks Unit 42 einen detaillierten Bericht über eine chinesischsprachige Bedrohungsgruppe, die unter dem Alias „knaithe“ oder „KnYuan“ operiert. Die Gruppe mit Sitz in Zhuhai nutzt eine offensive KI-Agenten-Plattform, die auf DeepSeek und dem Hermes Agent Framework basiert. Diese Kombination ermöglicht es den Angreifern, Ziele automatisiert zu identifizieren, Schwachstellen zu scannen und Exploits auszuführen – mit minimalem manuellem Eingriff.

Die Kampagne zielt auf über 460 Organisationen in mehr als 100 Ländern ab, wobei der Fokus auf Regierungs- und kommerzieller Infrastruktur liegt. Die Angreifer setzen eine Mischung aus autonomen und manuellen Techniken ein. Besonders bemerkenswert: Die Gruppe lässt DeepSeek den Scope der Angriffe einschränken, um KI-Compute-Ressourcen zu sparen. Das bedeutet, die KI entscheidet selbstständig, welche Ziele priorisiert und welche Angriffspfade verfolgt werden – ein Effizienzgewinn, der die Skalierbarkeit der Angriffe massiv erhöht.

Genutzte Schwachstellen im Arsenal

Die Bedrohungsgruppe setzt auf ein breites Portfolio ausgenutzter Schwachstellen. Neben CVE-2026-9198 (Langflow) und CVE-2026-34486 (Apache Tomcat) kommen weitere kritische Lücken zum Einsatz:

• CVE-2026-33017: Eine weitere Langflow-Schwachstelle mit einem CVSS-Score von 9.8, die ebenfalls Remote Code Execution ermöglicht.
• n8n: Eine nicht näher spezifizierte Schwachstelle in der Workflow-Automatisierungsplattform n8n, zu der das CERT-Bund bereits eine Warnung herausgegeben hat.
• CVE-2026-3055: Eine Schwachstelle in Citrix NetScaler, die für den Zugriff auf Unternehmensnetzwerke genutzt wird.
• CVE-2026-39987: Eine Lücke in Marimo, einem interaktiven Python-Notebook-Tool.
• CVE-2026-33824: Eine Schwachstelle in IKE VPN, die für den Netzwerkzugang missbraucht wird.

Diese Zusammenstellung zeigt, dass die Angreifer gezielt auf Plattformen abzielen, die in Entwicklungs- und Betriebsumgebungen weit verbreitet sind. Die Kombination aus KI-Agenten-Plattformen, Workflow-Tools und VPN-Schwachstellen ermöglicht es ihnen, von der initialen Kompromittierung bis zur lateralen Bewegung im Netzwerk eine durchgängige Angriffskette aufzubauen.

Die SNOWLIGHT-Kampagne

Parallel zu den Unit-42-Erkenntnissen hat SOCRadar eine separate Kampagne mit dem Namen SNOWLIGHT dokumentiert, die ebenfalls CVE-2026-34486 nutzt. Bei SNOWLIGHT handelt es sich um einen C-basierten Linux-Dropper und Loader, der speziell für Regierungs- und kommerzielle Infrastrukturen entwickelt wurde. Die Kampagne erstreckt sich über mehr als 100 Länder und zeigt, dass die Tomcat-Schwachstelle nicht isoliert betrachtet werden darf, sondern Teil eines größeren Angriffsökosystems ist.

Die Überschneidungen zwischen den Kampagnen deuten auf eine arbeitsteilige Vorgehensweise hin: Während die KI-gestützte Kampagne für die automatisierte Zielidentifikation und initiale Kompromittierung sorgt, übernimmt SNOWLIGHT die persistente Verankerung und laterale Bewegung in den kompromittierten Netzwerken.

Vergleich der kritischen Schwachstellen

Die folgende Tabelle fasst die technischen Eckdaten der beiden Hauptschwachstellen zusammen und verdeutlicht die Unterschiede in Angriffsvektor, Auswirkung und Dringlichkeit:

Auswirkungen für Unternehmen

Die gleichzeitige aktive Ausnutzung beider Schwachstellen stellt Unternehmen vor erhebliche Herausforderungen. Wer Langflow in der Entwicklung oder im Produktivbetrieb einsetzt, muss von einer unmittelbaren Kompromittierungsgefahr ausgehen. Der Fakt, dass der Angriff ohne Authentifizierung erfolgt und einen SUPERUSER-Token generiert, bedeutet, dass Angreifer innerhalb von Sekunden die vollständige Kontrolle über die Langflow-Instanz und den zugrunde liegenden Server erlangen können.

Für Apache Tomcat-Nutzer ist die Situation differenzierter zu betrachten. Die Schwachstelle betrifft primär Cluster-Umgebungen, die den EncryptInterceptor verwenden. Allerdings ist Tomcat in Unternehmensumgebungen häufig in geclusterten Setups im Einsatz – sei es für Lastverteilung, Hochverfügbarkeit oder Session-Replikation. Die Umgehung der Verschlüsselung kann zu einem Dominoeffekt führen: Ein kompromittierter Cluster-Knoten gefährdet die Sicherheit des gesamten Clusters.

Risiko durch KI-gestützte Angriffe

Die dokumentierte Nutzung von DeepSeek und dem Hermes Agent Framework markiert einen Wendepunkt in der Bedrohungslandschaft. Während KI-gestützte Angriffe bisher oft als Zukunftsszenario diskutiert wurden, zeigen die Berichte von Unit 42, dass sie bereits Realität sind. Die Fähigkeit der Angreifer, Ziele autonom zu identifizieren, Schwachstellen zu scannen und Exploits auszuführen, reduziert die Zeit zwischen Patch-Veröffentlichung und Massenausnutzung drastisch.

Besonders besorgniserregend ist die Technik des Scope Narrowing: Die KI entscheidet selbstständig, welche Ziele priorisiert werden, um Rechenressourcen zu sparen. Das bedeutet, dass die Angriffe nicht nach dem Gießkannenprinzip erfolgen, sondern gezielt die vielversprechendsten Ziele ausgewählt werden. Unternehmen mit exponierten Langflow- oder Tomcat-Instanzen sind daher nicht nur einem allgemeinen Risiko ausgesetzt, sondern werden aktiv von einer KI als lohnende Ziele bewertet.

Mitigation und Handlungsempfehlungen

Die CISA-Handlungsfrist bis zum 7. August 2026 lässt wenig Spielraum für langwierige Change-Management-Prozesse. Unternehmen müssen umgehend handeln, um eine Kompromittierung zu verhindern oder eine bereits erfolgte Infektion einzudämmen.

Sofortmaßnahmen für Langflow

Für CVE-2026-9198 ist das Update auf Langflow 1.10.1 die einzig wirksame Maßnahme. Workarounds wie das Deaktivieren der betroffenen Endpunkte sind nicht dokumentiert und angesichts der Schwere der Schwachstelle nicht zu empfehlen. Unternehmen sollten zusätzlich prüfen, ob ihre Langflow-Instanzen aus dem Internet erreichbar sind. Eine Exponierung ins öffentliche Netz ist bei einer Plattform, die Codeausführung ermöglicht, grundsätzlich kritisch zu hinterfragen.

Nach dem Update sollten Logs auf Anzeichen einer Kompromittierung untersucht werden. Verdächtige Zugriffe auf /api/v1/auto_login oder /api/v1/validate/code in Kombination mit ungewöhnlichen Timestamps oder IP-Adressen sind starke Indikatoren für einen erfolgten Angriff. Im Zweifelsfall ist die Instanz neu aufzusetzen und der SUPERUSER-Token zu rotieren.

Sofortmaßnahmen für Apache Tomcat

Für CVE-2026-34486 ist das Update auf die gepatchten Versionen 11.0.21, 10.1.54 oder 9.0.117 erforderlich. Da die Schwachstelle den EncryptInterceptor betrifft, sollten Administratoren prüfen, ob dieser in ihrer Cluster-Konfiguration tatsächlich verwendet wird. Ist dies der Fall, ist das Update umgehend einzuspielen. Zusätzlich empfiehlt sich eine Überprüfung der Netzwerksegmentierung: Die Inter-Cluster-Kommunikation sollte in einem isolierten Netzwerksegment stattfinden, das für externe Angreifer nicht erreichbar ist.

Unternehmen, die den Patch nicht sofort einspielen können, sollten als Übergangsmaßnahme die Cluster-Kommunikation über alternative, abgesicherte Kanäle führen oder den Cluster-Betrieb temporär aussetzen. Die CISA-Frist von drei Tagen macht deutlich, dass ein Aufschub nicht zu rechtfertigen ist.

Erkennung von KI-gestützten Angriffen

Die Erkennung der dokumentierten KI-Kampagne erfordert einen mehrschichtigen Ansatz. Klassische signaturbasierte Erkennung stößt bei KI-gesteuerten Angriffen an Grenzen, da die Angriffsmuster variabel sind. Unternehmen sollten ihre Detection-Engineering-Strategie um Verhaltensanalysen ergänzen, die anomale Zugriffsmuster auf API-Endpunkte, ungewöhnliche Authentifizierungsversuche und verdächtige Codeausführungen erkennen.

Die von Unit 42 dokumentierte Technik des Scope Narrowing bedeutet, dass Angreifer ihre Aktivitäten gezielt auf erfolgversprechende Ziele konzentrieren. Security-Teams sollten daher besonders wachsam sein, wenn ihre Organisation in Branchen tätig ist, die im Fokus der Kampagne stehen – insbesondere Regierungs- und kommerzielle Infrastrukturen.

Die größere Bedrohungslandschaft

Die Aufnahme von CVE-2026-9198 und CVE-2026-34486 in den CISA-KEV-Katalog ist Teil eines größeren Trends. Am selben Tag wurde auch CVE-2026-18556 in N-able N-central hinzugefügt, eine Schwachstelle mit CVSS 8.2. Diese Häufung unterstreicht, dass Angreifer zunehmend auf Plattformen abzielen, die in der Software-Lieferkette und in Entwicklungsinfrastrukturen eine zentrale Rolle spielen.

Die CISA-Patch-Fristen werden immer kürzer, und die Zeitspanne zwischen Patch-Veröffentlichung und aktiver Ausnutzung schrumpft kontinuierlich. Die Integration von KI in Angriffswerkzeuge wird diesen Trend weiter beschleunigen. Unternehmen müssen ihre Patch-Management-Prozesse grundlegend überdenken und von monatlichen oder quartalsweisen Zyklen auf kontinuierliche, risikobasierte Updates umstellen.

Lehren aus der Langflow-Schwachstelle

Die Langflow-Schwachstelle offenbart ein grundsätzliches Problem: Plattformen, die für schnelle Entwicklung und einfache Bedienung optimiert sind, vernachlässigen oft sicherheitskritische Aspekte. Ein unauthentifizierter Endpunkt, der SUPERUSER-Token ausgibt, ist ein eklatanter Designfehler, der in keiner sicherheitsbewussten Architektur vorkommen sollte. Entwicklerteams sollten bei der Auswahl von KI-Agenten-Plattformen nicht nur auf Funktionsumfang und Benutzerfreundlichkeit achten, sondern auch auf die Sicherheitsarchitektur – insbesondere auf Authentifizierungsmechanismen und die Trennung von Entwicklungs- und Produktivumgebungen.

Die Sicherheit von KI-Agenten ist ein wachsendes Forschungsfeld. Die dokumentierte Umgehung von KI-Agenten-Skills durch Techniken wie SkillCloak zeigt, dass die Angriffsfläche mit der Verbreitung von KI-Plattformen zunimmt. Unternehmen, die Langflow oder ähnliche Plattformen einsetzen, sollten diese in eine umfassende Sicherheitsstrategie einbetten, die regelmäßige Sicherheitsaudits, Penetrationstests und ein konsequentes Patch-Management umfasst.

Apache Tomcat als Dauerziel

Apache Tomcat ist seit Jahren ein bevorzugtes Ziel für Angreifer. Die weite Verbreitung, die Komplexität der Konfiguration und die Tatsache, dass viele Instanzen ungepatcht bleiben, machen Tomcat zu einem attraktiven Angriffsziel. Die aktuelle Schwachstelle im EncryptInterceptor reiht sich in eine lange Liste von Tomcat-Sicherheitslücken ein, die in der Vergangenheit aktiv ausgenutzt wurden.

Die CERT-Bund-Warnung zu n8n zeigt, dass auch andere Workflow- und Automatisierungsplattformen zunehmend ins Visier geraten. Die Kombination aus Tomcat, n8n und Langflow im Arsenal der Angreifer deutet auf eine Strategie hin, die auf die Kompromittierung der gesamten Entwicklungsumgebung abzielt. Wer eine dieser Plattformen betreibt, sollte auch die anderen im Blick behalten und sicherstellen, dass alle Komponenten auf dem aktuellen Stand sind.

Fazit

Die gleichzeitige Aufnahme von CVE-2026-9198 und CVE-2026-34486 in den CISA-KEV-Katalog ist ein Weckruf für Unternehmen, die KI-Agenten-Plattformen und Java-Application-Server betreiben. Die dreitägige Handlungsfrist lässt keinen Raum für Verzögerungen. Wer Langflow in den Versionen 1.0.0 bis 1.10.0 oder Apache Tomcat in den Versionen 11.0.20, 10.1.53 oder 9.0.116 einsetzt, muss umgehend patchen.

Die dokumentierte Nutzung von DeepSeek und dem Hermes Agent Framework durch chinesischsprachige Angreifer markiert einen Wendepunkt: KI-gestützte Angriffe sind keine Zukunftsmusik mehr, sondern Realität. Die Fähigkeit zur autonomen Zielidentifikation und zum Scope Narrowing erhöht die Effizienz der Angreifer und verkürzt die Zeit bis zur Massenausnutzung. Unternehmen müssen ihre Verteidigungsstrategien an diese neue Realität anpassen – mit kontinuierlichem Patch-Management, verhaltensbasierter Erkennung und einem kritischen Blick auf die Sicherheitsarchitektur ihrer Entwicklungsplattformen.

Die Botschaft ist klar: Wer seine Systeme nicht innerhalb der CISA-Frist patcht, riskiert nicht nur eine Kompromittierung, sondern wird von einer KI-gestützten Angriffskampagne aktiv als lohnendes Ziel identifiziert. Die Zeit für halbherzige Sicherheitsmaßnahmen ist vorbei.

Tags: CISA, Langflow, Apache Tomcat, KEV, KI-Agent, Patch-Management, CVE-2026-9198, CVE-2026-34486, DeepSeek, Hermes Agent Framework, SNOWLIGHT, Code Injection, EncryptInterceptor, Unit 42, SOCRadar

— WORD COUNT —
2237