Kritikal! Celah Keamanan Langflow CVE-2026-33017 Diserang dalam 20 Jam Setelah Terungkap

Sebuah celah keamanan kritikal pada platform Langflow yang diberi kode CVE-2026-33017 telah langsung diserang oleh pelaku ancaman hanya dalam 20 jam setelah pengumuman resmi. Kejadian ini menunjukkan betapa cepatnya pelaku kejahatan siber memanfaatkan kerentanan yang baru saja dipublikasikan sebelum pengguna sempat melakukan patching.

Celah Keamanan CVE-2026-33017 dan Cara Eksploitasi

Celah ini merupakan kombinasi dari missing authentication dan code injection yang memungkinkan pelaku mendapatkan akses eksekusi kode jarak jauh (remote code execution/RCE). Menurut pengumuman resmi Langflow, endpoint POST /api/v1/build_public_tmp/{flow_id}/flow memungkinkan pembuatan alur kerja publik tanpa perlu autentikasi.

"Ketika parameter data opsional dikirimkan, endpoint ini menggunakan data alur kerja yang dikendalikan penyerang (mengandung kode Python arbitrer dalam definisi node) alih-alih data alur yang tersimpan di database. Kode ini langsung diteruskan ke fungsi exec() tanpa sandboxing, mengakibatkan eksekusi kode jarak jauh tanpa autentikasi," jelas advis Langflow.

Semua versi Langflow hingga 1.8.1 terdampak celah ini. Perbaikan sudah dilakukan pada versi pengembangan 1.9.0.dev8.

Perbandingan dengan Kerentanan Sebelumnya dan Penjelasan Ahli

Peneliti keamanan Aviral Srivastava, yang menemukan dan melaporkan celah ini pada 26 Februari 2026, menegaskan bahwa CVE-2026-33017 berbeda dari celah kritikal sebelumnya, CVE-2025-3248, yang juga memungkinkan eksekusi kode Python tanpa autentikasi melalui endpoint /api/v1/validate/code. Namun, keduanya menggunakan teknik exec() yang sama.

"Endpoint tersebut memang didesain tanpa autentikasi karena melayani alur kerja publik. Menambahkan autentikasi akan merusak fungsi ini. Solusi sesungguhnya adalah menghapus parameter data dari endpoint publik, sehingga hanya data alur yang tersimpan di server yang dijalankan," jelas Srivastava.

Dampak Eksploitasi dan Aktivitas Penyerang

Jika berhasil dieksploitasi, penyerang hanya perlu mengirim satu permintaan HTTP untuk menjalankan kode dengan hak penuh proses server. Ini memungkinkan mereka mengakses variabel lingkungan, memodifikasi atau menghapus file, menyisipkan backdoor, hingga mendapatkan shell balik (reverse shell).

Firma keamanan cloud Sysdig melaporkan bahwa eksploitasi pertama kali terdeteksi dalam 20 jam setelah advis diterbitkan pada 17 Maret 2026. Menariknya, pada saat itu belum ada kode bukti konsep (PoC) yang dipublikasikan, namun pelaku sudah mampu membuat eksploitasi berdasarkan deskripsi advis.

• Penyerang menggunakan pemindaian otomatis untuk menemukan target rentan.
• Mengekstrak data seperti kunci dan kredensial yang memungkinkan akses database dan potensi kompromi rantai pasokan perangkat lunak.
• Berpindah ke skrip Python khusus untuk mengambil data dari file /etc/passwd dan mengirimkan muatan lanjutan dari server eksternal.

Sysdig mencatat ini sebagai "serangan terencana dengan toolkit eksploitasi siap pakai yang langsung melompat dari validasi ke penyebaran payload dalam satu sesi". Identitas pelaku belum diketahui hingga kini.

Tren Waktu Eksploitasi yang Semakin Singkat

Waktu 20 jam ini menegaskan tren mengkhawatirkan di mana median waktu dari pengumuman kerentanan hingga eksploitasi nyata semakin menurun drastis, dari 771 hari di 2018 ke hanya beberapa jam di 2024.

Laporan Global Threat Landscape 2026 dari Rapid7 menyebutkan bahwa median waktu untuk kerentanan masuk ke katalog CISA KEV hanya 5 hari, turun dari 8,5 hari tahun sebelumnya.

"Ini menjadi tantangan berat bagi tim keamanan karena rata-rata waktu organisasi untuk patch adalah sekitar 20 hari, sehingga mereka rentan dieksploitasi. Pelaku ancaman memanfaatkan feed advisori yang sama dengan defender dan membangun exploit lebih cepat dari kemampuan organisasi dalam menguji dan menerapkan patch," tambah Rapid7.

Rekomendasi Keamanan untuk Pengguna Langflow

Pengguna disarankan untuk segera memperbarui ke versi terbaru yang sudah diperbaiki, melakukan audit pada variabel lingkungan dan rahasia yang mungkin terekspos, melakukan rotasi kunci dan password database, serta memantau koneksi keluar yang mencurigakan.

Selain itu, batasi akses jaringan ke instance Langflow menggunakan aturan firewall atau proxy terbalik dengan autentikasi agar mengurangi risiko serangan.

Analisis Redaksi

Menurut pandangan redaksi, kasus CVE-2026-33017 ini bukan hanya sebuah peringatan keamanan teknis, tetapi juga gambaran nyata bagaimana kecepatan eksploitasi kerentanan kini menjadi ancaman utama dalam lanskap keamanan siber modern. Kerentanan di alat open source populer seperti Langflow dapat langsung disalahgunakan bahkan sebelum ada solusi resmi yang diterapkan secara luas.

Ini menunjukkan bahwa organisasi harus beradaptasi dengan paradigma baru keamanan, yakni mengantisipasi serangan secara proaktif dan mempercepat siklus patching dan deteksi. Selain itu, perlu ada peningkatan pengawasan terhadap komponen open source yang digunakan dalam pengembangan sistem, terutama yang berkaitan dengan AI dan integrasi rantai pasokan perangkat lunak.

Ke depan, publik dan pelaku industri harus waspada terhadap pola serangan yang semakin cepat dan canggih, serta meningkatkan kolaborasi untuk berbagi intelijen ancaman demi memperkuat pertahanan kolektif.

Terus ikuti perkembangan terkini dan pastikan sistem Anda terlindungi dengan update terbaru untuk menghindari dampak kerusakan serius akibat eksploitasi celah keamanan seperti CVE-2026-33017.