Celah Kritis Platform AI: Langflow, Flowise, Ray, dan Ollama

Celah Langflow CVE-2026-33017 menjadi contoh nyata betapa cepatnya platform AI yang di-host sendiri diserang: eksploitasi pertama teramati sekitar 20 jam setelah advisori terbit pada Maret 2026, dan CVE-nya masuk katalog CISA KEV. Langflow bukan satu-satunya; Flowise, Ray, dan Ollama juga punya kerentanan kritis. Artikel ini merangkum versi terdampak, status eksploitasi per 29 Oktober 2026, dan langkah pengamanannya.

Ringkasan Celah Langflow, Flowise, Ray, dan Ollama

• Langflow, CVE-2026-33017: eksekusi kode jarak jauh tanpa autentikasi lewat endpoint pembuatan flow publik, pada versi sebelum 1.9.0. CVSS 9,8 (NVD, v3.1) dan 9,3 (GitHub sebagai CNA, v4.0). Masuk CISA KEV pada 25 Maret 2026. Diperbaiki di Langflow 1.9.0.
• Flowise, CVE-2025-59528: injeksi kode JavaScript pada node CustomMCP, tercatat pada versi 3.0.5. CVSS 10,0 (GitHub sebagai CNA, v3.1). Diperbaiki di 3.0.6. Eksploitasi pertama dilihat VulnCheck pada 7 April 2026. Tidak ada di CISA KEV per 28 Oktober 2026.
• Ray, CVE-2025-62593: eksekusi kode lewat Jobs API pada dashboard Ray melalui DNS rebinding dari browser. CVSS 9,4 (CNA, v4.0) dan 8,8 (NVD, v3.1). Semua versi sebelum 2.52.0 terdampak; diperbaiki di 2.52.0, dan 2.52.1 disarankan sebagai pengerasan tambahan. Masuk CISA KEV pada 17 Agustus 2026.
• Ollama, CVE-2026-7482 (Bleeding Llama): pembacaan memori heap di luar batas pada pemuat model GGUF, semua versi sebelum 0.17.1. CVSS 9,1 (v3.1) dan 8,8 (v4.0) dari CNA Echo. Diperbaiki di 0.17.1 (24 Februari 2026). Tidak masuk CISA KEV per 28 Oktober 2026.
• LangChain Core, CVE-2025-68664: injeksi serialisasi pada fungsi dumps() dan dumpd() yang dapat berujung pada pencurian rahasia dari variabel lingkungan. CVSS 9,3 (GitHub sebagai CNA) dan 8,2 (NVD), keduanya v3.1. Diperbaiki di langchain-core 0.3.81 dan 1.2.5. Tidak masuk CISA KEV per 28 Oktober 2026.

Cara membaca skor dan istilah KEV dibahas di level kerentanan dan skor CVSS dan CISA KEV.

Celah Langflow CVE-2026-33017: Eksploitasi dalam 20 Jam

Langflow adalah alat sumber terbuka untuk membangun dan menjalankan agen AI serta alur kerja berbasis AI. Menurut deskripsi NVD, endpoint pembuatan flow publik pada versi sebelum 1.9.0 menerima data flow dari penyerang yang dapat memuat kode Python dalam definisi node, lalu mengeksekusinya tanpa sandbox. Advisori terbit pada 17 Maret 2026. Sysdig mengamati percobaan eksploitasi pertama pada 18 Maret 2026, sekitar 20 jam kemudian, saat belum ada kode bukti konsep publik; penyerang disebut menyusunnya dari teks advisori. Aktivitas lanjutan yang dilaporkan Sysdig mencakup pemindaian otomatis, pengintaian host, serta pengambilan variabel lingkungan dan file .env berisi rahasia aplikasi. Instans Langflow umumnya menyimpan kunci API penyedia AI, kredensial cloud, dan koneksi database. Rincian ada di analisis Sysdig. CISA menambahkannya ke KEV pada 25 Maret 2026 dengan batas tindakan 8 April 2026. Per katalog KEV 28 Oktober 2026, ada enam CVE Langflow yang tercatat dieksploitasi, lima di antaranya ditambahkan sepanjang 2026, jadi periksa katalog untuk versi yang Anda jalankan.

Flowise, Ray, dan Ollama dalam Sekilas

Flowise. Menurut BleepingComputer, jaringan sensor VulnCheck mendeteksi eksploitasi pertama CVE-2025-59528 pada 7 April 2026, masih terbatas dan berasal dari satu alamat IP. Peneliti VulnCheck memperkirakan 12.000 sampai 15.000 instans Flowise terekspos ke internet, tanpa kejelasan berapa yang rentan; angka ini adalah paparan, bukan jumlah korban. Perbaikan tersedia sejak 3.0.6, dan laporan itu menyarankan pembaruan ke versi terbaru saat itu, 3.1.1. Dua CVE Flowise lain, CVE-2025-8943 dan CVE-2025-26319, juga disebut sudah dieksploitasi.

Ray. Pada versi sebelum 2.52.0, Jobs API dashboard tidak punya autentikasi, dan perlindungan terhadap permintaan dari browser bergantung pada header yang dikendalikan klien, sehingga lewat DNS rebinding, halaman web jahat yang dibuka pengembang di Firefox atau Safari dapat menjangkau dashboard yang terikat ke localhost. Artinya, mengikat Ray ke localhost saja tidak cukup. Autentikasi token tersedia sejak 2.52.0 tetapi tidak aktif secara default, jadi harus dinyalakan. Port dashboard 8265 sebaiknya tidak terbuka ke internet. Rincian di analisis Resecurity.

Ollama. Menurut catatan CVE dan Mondoo, Bleeding Llama ditemukan tim Cyera Research dan dapat membocorkan memori proses, termasuk variabel lingkungan, kunci API, prompt sistem, dan percakapan pengguna lain, lewat API HTTP port 11434 yang tidak berautentikasi. Bawaan Ollama terikat ke 127.0.0.1, tetapi banyak instalasi mengubahnya ke 0.0.0.0. Menurut Mondoo, pemindaian internet yang dikutip dalam pengungkapan awal memperkirakan sekitar 300.000 server terjangkau. Selain itu CERT Polska mengumumkan dua celah updater Ollama untuk Windows pada 29 April 2026, CVE-2026-42248 (pembaruan tidak diverifikasi tanda tangannya) dan CVE-2026-42249 (path traversal), dengan CVSS 7,7 (v4.0, CERT Polska) dan 9,8 (v3.1, NVD). Versi 0.12.10 sampai 0.17.5 terkonfirmasi rentan, dan advisori tidak menyebut versi perbaikan. Mondoo melaporkan perbaikan sudah digabung ke cabang utama pada Mei 2026, jadi pastikan Anda memakai rilis terbaru dan periksa catatan rilisnya; menonaktifkan unduhan pembaruan otomatis adalah mitigasi sementara. Rujukan: catatan Mondoo.

Mengapa Platform AI Self-Hosted Sering Terekspos

Alat seperti ini mudah dipasang dan sering dijalankan di server pengembangan dengan port terbuka. Padahal ia menyimpan banyak rahasia: kunci API model, kredensial database, dan token cloud. Satu instans yang dikompromikan bisa membuka seluruh jaringan. Sysdig juga mencatat platform seperti ini sering dipasang di luar tinjauan keamanan standar, sehingga tim IT mungkin tidak tahu instans itu ada. Pola yang sama muncul pada platform otomasi n8n, dan inventaris yang disiplin menjadi langkah pertama untuk mengendalikannya.

Cara Memeriksa Paparan dan Memitigasi

• Patch dahulu: Langflow 1.9.0 atau lebih baru; Flowise 3.0.6 atau lebih baru; Ray 2.52.1 atau lebih baru; Ollama 0.17.1 atau lebih baru (pengguna Windows: rilis terbaru); langchain-core 0.3.81 atau 1.2.5 ke atas.
• Jangan ekspos langsung ke internet: letakkan di balik VPN atau reverse proxy dengan autentikasi. Biarkan Ollama terikat ke 127.0.0.1.
• Nyalakan autentikasi bawaan seperti token Ray, karena fitur itu tidak aktif secara default.
• Rotasi rahasia: bila instans pernah terekspos, ganti semua kunci API, kata sandi database, dan kredensial cloud di lingkungannya.
• Pantau: peringatan untuk shell yang dijalankan dari proses aplikasi atau lewat curl dan wget, permintaan tak terduga ke endpoint job Ray, koneksi keluar ke tujuan tidak biasa, dan akses ke port 8265 atau 11434 dari luar.
• Inventaris: cari semua instans platform AI, termasuk yang dipasang tim lain, dan masukkan ke proses patch management berbasis risiko.

Untuk menguji eksposur sistem organisasi Anda secara sah, gunakan layanan asesmen Linuxhackingid. Pengujian pada sistem tanpa izin adalah akses ilegal menurut Pasal 332 KUHP sejak 2 Januari 2026.

Pertanyaan yang Sering Diajukan

Apakah Langflow aman dipakai setelah patch?

Setelah memperbarui ke 1.9.0 atau lebih baru dan tidak mengeksposnya langsung ke internet, risikonya turun jauh. Tetap rotasi rahasia jika instans pernah terbuka.

Apa beda KEV dan skor CVSS?

CVSS menilai tingkat keparahan teknis, sedangkan KEV menandai CVE yang terbukti dieksploitasi. Prioritaskan yang masuk KEV.

Flowise tidak ada di KEV, apakah boleh ditunda?

Tidak disarankan. CVSS-nya 10,0 dan eksploitasi sudah dilaporkan teramati oleh VulnCheck, meski katalog KEV CISA belum memuatnya per 28 Oktober 2026. Ketiadaan di KEV tidak berarti aman.

Kesimpulan

Platform AI yang di-host sendiri adalah sasaran bernilai tinggi karena menyimpan rahasia dan sering terpapar. Per 29 Oktober 2026, patch, jangan ekspos langsung, dan rotasi rahasia. Tim Linuxhackingid siap membantu organisasi Anda memetakan dan menguji paparan platform AI yang dijalankan sendiri.