AI 平臺 Langflow 爆發重大 RCE 漏洞，提示詞注入恐致伺服器遭接管

Langflow 是用於建置大型語言模型（LLM）應用的開源開發工具，常連接雲端服務、模型與資料來源；一旦遭遠端控制，攻擊者可能取得 AI 基礎設施權限及敏感憑證，因此漏洞影響不僅限於單一主機。

美國網路安全暨基礎設施安全局（CISA）於 2026 年 7 月警告，CVE-2026-33017 已遭實際利用；漏洞 CVSS 評分為 9.3，影響 Langflow 1.8.1 以前版本。攻擊者並曾藉此竊取 AI 與雲端金鑰、挖取門羅幣，用戶應儘速升級至 1.9.0。

Langflow 是用於建立大型語言模型應用的開發工具，其路徑遍歷漏洞 CVE-2026-5027 可讓未授權攻擊者存取伺服器檔案，進一步遠端執行任意程式碼，可能危及部署中的 AI 應用、憑證與內部資料，因此對開發及維運團隊構成重大風險。

資安公司近期證實，CVE-2026-5027 已在 2026 年被攻擊者用於實際入侵，不再只是概念驗證階段。Langflow 開發團隊已於 1.9.0 版本修補漏洞；使用舊版的組織應儘速升級，並檢查伺服器檔案存取、異常程序及對外連線紀錄。