La vulnerabilità di Langflow registra 1.423 tentativi di exploit
La vulnerabilità di Langflow identificata come CVE-2026-105740 è attivamente presa di mira: dal 19 settembre 2026 Previdian ha registrato 1.423 tentativi di exploit contro i propri sensori honeypot. I sistemi honeypot sono sistemi monitorati deliberatamente per osservare attività dannose. La falla ha un punteggio di 9,9 secondo il Common Vulnerability Scoring System (CVSS) e interessa le versioni di Langflow precedenti alla 1.9.0.
Langflow è una piattaforma open source per creare applicazioni di intelligenza artificiale e workflow automatizzati basati su agenti. La sua società madre, DataStax, è stata acquisita da IBM nel febbraio 2025. La vulnerabilità consente la remote code execution (RCE) autenticata: una persona in grado di accedere a Langflow può fare in modo che il relativo server esegua command del sistema operativo. Non sono richiesti privilegi di amministratore all’interno di Langflow, quindi è sufficiente un normale account autenticato.
La debolezza risiede nella gestione delle configurazioni MCP server che utilizzano stdio transport, un metodo per comunicare con un programma tramite il suo standard input e standard output. Langflow accetta un command fornito dall’utente e lo passa a una shell Bash senza convalida, senza restrizioni sui programmi autorizzati e senza isolamento dal sistema sottostante. Il command viene eseguito quando viene recuperato l’elenco degli MCP server configurati. La configurazione accetta inoltre environment variables arbitrarie, ossia impostazioni rese disponibili al software in esecuzione, comprese modifiche relative a LD_PRELOAD o PATH.
Un attaccante può accedere come utente non amministratore, inviare una richiesta HTTP POST appositamente predisposta a "/api/v2/mcp/servers/{server_name}" e inserire un’istruzione dannosa nel campo command. Langflow memorizza l’istruzione senza verificarla. Una successiva richiesta HTTP GET a "/api/v2/mcp/servers?action_count=true" carica l’elenco dei server e provoca l’esecuzione del command memorizzato con i privilegi del processo Langflow. Un payload potrebbe includere una reverse shell, che collega il server interessato al sistema di un attaccante e fornisce accesso remoto da command line.
Langflow avverte che un exploit riuscito può compromettere il server, iniettare environment variables, favorire il movimento laterale verso altri sistemi accessibili e installare una backdoor persistente. La persistenza è possibile perché la voce MCP server dannosa rimane nelle impostazioni del progetto e può essere eseguita nuovamente ogni volta che viene caricato l’elenco dei server. Langflow osserva inoltre che, a differenza del codice dei componenti personalizzati mostrato nel flow editor, queste configurazioni non sono normalmente visibili durante la revisione del flow.
Previdian ha rilevato attività provenienti da 27 indirizzi IP univoci situati in Belgio, Cina, Germania, Hong Kong, Giappone, Nigeria, Filippine, Russia, Seychelles, Singapore, Corea del Sud, Taiwan, Tanzania, Stati Uniti e Vietnam. I tentativi sono aumentati l’11 ottobre 2026, quando ne sono stati registrati 333. Al momento della pubblicazione, il 15 ottobre erano già stati osservati altri 66 tentativi. Il dato misura le richieste che hanno raggiunto i sensori di Previdian, non il numero confermato di sistemi di produzione compromessi.
Poiché CVE-2026-105740 richiede l’autenticazione, Previdian ha esaminato il modo in cui gli attaccanti osservati hanno ottenuto l’accesso. In una sequenza, un attaccante ha verificato la versione di Langflow installata e ha provato l’endpoint "/api/v1/auto_login". L’auto-login era disabilitato sul honeypot e ha prodotto una risposta 403, ma l’attaccante è poi riuscito ad accedere usando un username e una password comuni. Il bearer token ottenuto, una credenziale usata per autorizzare le richieste successive, è stato immediatamente utilizzato per raggiungere l’endpoint MCP server vulnerabile.
I payload acquisiti hanno tentato di raccogliere environment variables e impostazioni sensibili di Langflow, tra cui LANGFLOW_SECRET_KEY e LANGFLOW_SUPERUSER_PASSWORD, prima di trasmetterle a 146.70.211[.]112 sulla porta 18764. Altri command hanno utilizzato Docker per tentare di raggiungere il filesystem dell’host e leggere "/etc/passwd". Previdian ha inoltre osservato controlli di base sull’esecuzione di command mediante id e whoami, che possono rivelare l’account e i privilegi con cui è in esecuzione un processo.
Una parte consistente dell’attività proveniva da 192.255.229[.]92. I dati di GreyNoise e Previdian associano tale indirizzo a generici tentativi di brute-force e a tentativi di exploit relativi alla vulnerabilità CVE-2026-69255 di Flowise, oltre che alle falle di Langflow CVE-2026-55255, CVE-2026-9198 e CVE-2026-0768. Il fatto che siano state prese di mira diverse vulnerabilità di Langflow indica una scansione sistematica dei deployment esposti, ma l’obiettivo finale dell’attore non identificato rimane poco chiaro.
Gli amministratori dovrebbero aggiornare Langflow alla versione 1.9.0 o a una release corretta successiva, disabilitare l’auto-login, utilizzare password degli account forti e uniche ed esaminare i registri di autenticazione e le richieste dirette all’endpoint MCP server. Se non è possibile effettuare immediatamente l’aggiornamento, Langflow consiglia di impostare LANGFLOW_AUTO_LOGIN=false, mantenere l’applicazione lontana da reti non attendibili e limitare gli account agli utenti fidati. Il mese scorso Langflow ha inoltre corretto CVE-2026-105697, un’altra falla critica di command injection nella configurazione di MCP server stdio, con un punteggio di 9,9. Alle aziende che cercano assistenza per questo tipo di attività di sicurezza dei sistemi, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati sulla sicurezza.