분석

Langflow, 인증 우회 포함 9.8점 치명적 취약점 2건을 1.13.0에서 수정

IBM은 인증 우회와 코드 실행 등 9.8점 Langflow 취약점 2건이 1.13.0에서 수정됐다고 밝혔다. 우회 방법은 없고 11월 2일 기준 악용 보고는 없다.

작성: Audryk · 2026년 11월 3일

• #Langflow
• #IBM
• #CVE-2026-93680
• #인증 우회
• #원격 코드 실행
• #MCP

IBM Security는 2026년 10월 28일(10월 29일 수정) AI 에이전트 워크플로를 만드는 오픈소스 플랫폼 Langflow OSS에 관한 보안 공지를 냈다. 치명적 취약점 CVE-2026-93680과 CVE-2026-110186 두 건을 올렸고, 둘 다 10점 만점에 9.8점이며 버전 1.13.0에서 수정됐다. 따라서 이 점수의 취약점은 한 건이 아니라 두 건이다. 2026년 11월 2일 기준으로 이 CVE들이 악용됐다는 보고는 없다. 우리는 아무것도 시험하지 않았다.

핵심 요약

• 확인된 것: 9.8점(CVSS 3.1)으로 평가된 취약점 2건. 네트워크로 접근할 수 있고 권한도 사용자 조작도 필요 없다. 영향 받는 버전은 Windows, Linux, macOS의 1.0.0~1.12.8이며 1.13.0에서 수정됐다.
• IBM의 권고: 백업한 뒤 1.13.0으로 업그레이드한다. IBM은 우회 방법(workaround)을 제시하지 않는다.
• 악용: 11월 2일 기준 보고는 없고 CISA의 KEV 목록에도 없다. 앞으로 바뀔 수 있다.
• 함정: 자동 로그인에 의존하던 환경이라면 업그레이드 전에 비밀번호가 있는 계정을 준비한다.

IBM 공지와 CVE는 무엇을 말하는가

CVE-2026-93680은 원격으로 인증을 우회할 수 있는 문제다(CWE-287). 벡터는 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H로, 네트워크로 접근할 수 있고 권한도 조작도 필요 없다는 뜻이다. 보안 언론과 Ostorlab에 따르면 기본으로 켜져 있던 자동 로그인(“auto-login”) 점검에 대한 불완전한 수정이라고 한다. 1.13.0에서는 자동 로그인이 기본으로 꺼진다.

CVE-2026-110186은 코드 생성에 대한 통제가 부족해 임의의 코드를 실행할 수 있는 문제다(CWE-94). 역시 9.8점이며 벡터도 같다. 공지는 MCP(Model Context Protocol) 도구 열거를 통한, 인증이 필요 없는 경로를 설명한다. 언론은 CVE 설명이 이 경로를 특정 식별자와 명시적으로 연결하지 않는다고 지적한다.

공지에는 Langflow 취약점이 두 건 더 있다. CVE-2026-110193(8.8)은 권한이 낮은 인증된 사용자가 “Agentic Assistant”에게 운영체제 명령을 실행하는 코드를 만들게 할 수 있는 문제다. CVE-2026-110192(6.5)는 인증된 사용자에 대해 자격 증명 보호가 불충분한 문제다. 라이브러리 Hono의 취약점 3건(5.9, 5.3, 6.5)도 함께 올라 있다.

출처: IBM Security 공지.

누가, 어떤 조건에서 영향을 받는가

버전 1.0.0부터 1.12.8까지의 모든 Langflow OSS 인스턴스다. Ostorlab에 따르면 위험 조건은 내부망을 포함해 신뢰할 수 없는 사람이 접근할 수 있는 인스턴스이면서 자동 로그인이 명시적으로 꺼져 있지 않은 경우다. 화면과 MCP 엔드포인트에 대한 네트워크 접근을 제한하면 위험은 줄지만 수정을 대신하지는 못한다(aicybr, Ostorlab).

1.13.0은 무엇이 달라지고, 잠기지 않고 업그레이드하려면

IBM이 안내한 절차는 pip install --upgrade "langflow==1.13.0"을 실행하거나 Docker 이미지 langflowai/langflow:1.13.0을 쓰는 것이다. 먼저 데이터베이스, 비밀 키, 업로드된 파일을 백업한다.

자동 로그인을 쓰던 환경이라면 업그레이드 전에 비밀번호가 있는 계정을 준비한다. GBHackers, hol.org, Ostorlab에 따르면 그렇지 않을 때 제자리에서 업그레이드한 1.12 인스턴스가 시작을 거부할 수 있다(“Username and password must be set”). Ostorlab은 업데이트 후 LANGFLOW_AUTO_LOGIN=true를 다시 설정하면 접근이 다시 열린다고 덧붙인다. 수정은 이미 노출된 비밀 정보를 무효로 만들지 않는다(aicybr, hol.org). 인스턴스에 신뢰할 수 없는 제3자가 접근할 수 있었다면 키를 교체한다.

악용 현황은 어떤가

2026년 11월 2일 기준으로 이 CVE들이 악용됐다는 보고는 없고 CISA의 KEV 목록에도 없다(Ostorlab, GBHackers, neomanex를 통한 The Hacker News). CVE-2026-110186에 대한 CISA의 ADP 항목은 SSVC 평가로 악용 “none”, 자동화 가능 “yes”, 기술적 영향 “total”을 제시한다.

공개된 Metasploit 모듈이 CVE-2026-93680을 언급한다. The Hacker News에 따르면 이 모듈이 보여 주는 것은 코드 실행이 아니라 우회이며, 대상은 1.5.0~1.11.4로 IBM의 범위보다 좁다. 별개의 선례인 CVE-2025-3248(역시 Langflow)은 실제로 악용됐고 KEV에 올라 있다. 둘을 혼동해서는 안 된다.

확인되지 않은 것은 무엇인가

출처: IBM Security 공지, CVE 등록 정보, 언론(일부는 자동 요약으로 확인).

이 취약점들이 앞으로 악용될지 여부. 11월 2일자 “악용 보고 없음”이라는 상황은 바뀔 수 있기 때문이다. 노출된 인스턴스가 실제로 몇 개인지. MCP 경로가 어느 식별자에 해당하는지. 그리고 우리가 읽지 않은 것, 곧 1.13.0의 GitHub 릴리스 노트와 NVD.

비교표

자주 묻는 질문

어느 버전으로 올려야 하나

1.13.0이다. IBM에 따르면 수정된 버전은 이것뿐이며 우회 방법은 없다.

이 취약점들은 악용되고 있나

2026년 11월 2일 기준 보고는 없고 CISA의 KEV 목록에도 없다. 이는 어느 시점의 상황일 뿐 보증이 아니다.

업그레이드하면 접속이 막힐 수 있나

자동 로그인을 쓰던 환경이라면 그럴 수 있다. 먼저 비밀번호가 있는 계정을 준비하고 데이터를 백업한다.

방법과 한계

IBM 공지와 CVE 등록 정보(JSON)는 전문을 읽었다. Ostorlab, GBHackers, aicybr, neomanex(The Hacker News 전재), 집계 사이트 hol.org는 자동 요약으로 읽었다. The Hacker News 원문(찾지 못함), 1.13.0의 GitHub 릴리스 노트, NVD는 읽지 않았다. 우리는 아무것도 시험하지 않았다. 개인 상황에 맞춘 보안 조언이 아니다.

출처

• IBM Security 공지(2026년 10월 28일, 10월 29일 수정)
• CVE-2026-93680 등록 정보(CVE.org, cvelistV5)
• CVE-2026-110186 등록 정보(CVE.org, cvelistV5)
• Ostorlab, 자동 요약으로 확인
• GBHackers, 자동 요약으로 확인
• aicybr, 자동 요약으로 확인
• neomanex(The Hacker News 전재), 자동 요약으로 확인

이 기사에서 오류를 발견하셨나요? 제보하기 · 정정 정책