Langflow ช่องโหว่รันโค้ดจากระยะไกล CVE-2026-0770 ถูกโจมตีจริง

พอดีไล่ฟีด CISA KEV เจอประกาศของ Langflow หมายเลข CVE-2026-0770 ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอิน เรื่องนี้มีการใช้โจมตีจริงแล้ว และถูกเพิ่มเข้ารายการวันที่ 21 กรกฎาคม 2026 ใครเปิดบริการ Langflow ให้เข้าถึงผ่านเครือข่ายควรรีบตรวจสอบการติดตั้ง โดยเฉพาะเครื่องที่รับการเชื่อมต่อจากอินเทอร์เน็ต ตามข้อมูลใน รายการ KEV ของ CISA

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากเปิดบริการ Langflow ให้จำกัดการเข้าถึงและเร่งอัปเดตทันที เพราะมีการโจมตีจริงแล้ว
• นักพัฒนา: หากติดตั้ง Langflow ในสภาพแวดล้อมพัฒนาหรือใช้เป็นส่วนหนึ่งของแอป ให้ตรวจรุ่นและเร่งอัปเดตพร้อมทดสอบงานที่เชื่อมต่ออยู่

เกิดอะไรขึ้น

จุดอ่อนอยู่ที่การจัดการพารามิเตอร์ exec_globals ซึ่งส่งให้จุดรับคำขอ validate ของ Langflow ระบบนำโค้ดจากแหล่งที่ไม่ควรเชื่อถือมารัน ผู้โจมตีเลยสั่งรันโค้ดบนเครื่องที่เปิดบริการได้ ช่องโหว่นี้จัดเป็น CWE-829 ตาม ประกาศ ZDI-26-036

ZDI ระบุว่าผู้โจมตีไม่ต้องล็อกอิน และรันโค้ดด้วยสิทธิ์ root ได้ ผู้โจมตีอาจอ่านหรือแก้ข้อมูล และทำให้บริการหยุดทำงาน ส่วน ระเบียน CVE ฉบับข้อมูลทางการ ให้คะแนน CVSS 3.0 ที่ 9.8 ระดับ Critical

ใครโดนและรุ่นที่แก้

ระเบียน CVE ยืนยันว่ารุ่น 1.4.2 มีช่องโหว่ ส่วนรุ่นอื่นให้สถานะ unknown เลยยังสรุปว่าปลอดภัยไม่ได้ ส่วน CISA เชื่อมไปยัง Langflow 1.9.0 ของผู้พัฒนา สำหรับการแก้ไข แต่หน้า release ไม่ได้ระบุ CVE นี้โดยตรง เลยยังใช้ยืนยันรุ่นแรกที่แก้ไม่ได้

ต้องทำอะไร

เริ่มจากตรวจว่าบริการที่เปิดใช้งานรัน Langflow รุ่นใด และใครเข้าถึงได้บ้าง จากนั้นสำรองข้อมูลกับค่าตั้งก่อนอัปเดต สำหรับการติดตั้งผ่าน pip ให้ใช้ Python environment เดียวกับที่รันบริการ ตัวอย่างคำสั่งอัปเดตไปยังรุ่นที่ CISA อ้างอิงคือ

python -m pip install --upgrade 'langflow==1.9.0'

หลังอัปเดตให้เริ่มบริการใหม่ตามวิธีที่ติดตั้ง ตรวจรุ่นของโปรเซสที่ใช้งานจริง และทดสอบการทำงานที่แอปเรียกผ่าน Langflow หากใช้คอนเทนเนอร์ต้องเปลี่ยนอิมเมจและนำบริการขึ้นใหม่ตามกระบวนการของระบบนั้น การอัปเดตแพ็กเกจใน environment อื่นจะไม่เปลี่ยนบริการที่กำลังรับคำขออยู่

CISA กำหนด due date เป็นวันที่ 24 กรกฎาคม 2026 สำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนด และให้ดำเนินการตามคำแนะนำผู้พัฒนา รวมถึงแนวทางตรวจสอบร่องรอยการบุกรุกที่อ้างอิงในรายการ KEV หากไม่มีมาตรการลดความเสี่ยงให้หยุดใช้ผลิตภัณฑ์ สำหรับระบบที่เคยเปิดให้เข้าถึงจากภายนอก ควรตรวจบันทึกเหตุการณ์และความผิดปกติควบคู่กับการแพตช์ เพราะการติดตั้งรุ่นใหม่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกเจาะ

ส่วนตัวผมมองว่าควรเร่งแพตช์ทันที โดยเฉพาะบริการที่เปิดรับจากอินเทอร์เน็ต เพราะมีหลักฐานการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-0770, ระเบียน CVE-2026-0770, ZDI-26-036 และ Langflow 1.9.0 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ