Atores de ameaça estão explorando uma falha de segurança crítica no Langflow, segundo um alerta da Previdian.
O Langflow é uma plataforma de código aberto que permite a desenvolvedores criar aplicações de inteligência artificial (IA) e fluxos de trabalho agênticos. Em fevereiro de 2025, a DataStax, empresa controladora do Langflow, foi adquirida pela IBM.
A vulnerabilidade em questão é a CVE-2026-105740 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns; pontuação CVSS de 9,9, sigla de Common Vulnerability Scoring System, ou Sistema de Pontuação de Vulnerabilidades Comuns), um caso de execução remota de código autenticada que afeta versões anteriores à 1.9.0.
“Qualquer usuário autenticado do Langflow pode alcançar execução remota de código (RCE, na sigla em inglês) no servidor ao adicionar um servidor MCP (Model Context Protocol, ou Protocolo de Contexto de Modelo) com o transporte ‘stdio’ (entrada e saída padrão)”, diz um aviso de segurança divulgado no mês passado.
“O campo de comando fornecido pelo usuário é passado diretamente para bash -c “exec {command}”, sem nenhuma validação, sem lista de permissões e sem sandbox. O comando é executado imediatamente quando a lista de servidores é carregada. Além disso, o campo env permite a injeção arbitrária de variáveis de ambiente (por exemplo, LD_PRELOAD e substituição de PATH).”
O cerne da vulnerabilidade está no fato de que o Langflow aceita um comando fornecido pelo usuário sem restringi-lo a executáveis aprovados. Isso, por sua vez, pode levar à execução de comandos no shell.
Em um cenário hipotético de ataque, um agente malicioso pode explorar a falha da seguinte forma:
- Fazer login como usuário comum, sem privilégios de administrador.
- Adicionar um servidor MCP malicioso enviando uma requisição HTTP POST (Protocolo de Transferência de Hipertexto) elaborada para “/api/v2/mcp/servers/{server_name}”, com um campo de comando contendo uma carga maliciosa (por exemplo, um reverse shell).
- O servidor aceita e armazena o “command” fornecido pelo atacante sem qualquer validação.
- Acionar a falha ao buscar a lista de servidores MCP por meio de uma requisição HTTP GET para “/api/v2/mcp/servers?action_count=true”, o que faz o comando ser executado.
- Obter execução de código.
“Qualquer usuário autenticado do Langflow (incluindo contas não administrativas) pode executar comandos arbitrários do sistema operacional (SO) no servidor com os privilégios do processo do Langflow”, alertou a própria Langflow.
A exploração bem-sucedida pode resultar no comprometimento total do servidor, na injeção de variáveis de ambiente e facilitar o movimento lateral na rede, além da instalação de uma porta dos fundos (backdoor) persistente, já que a configuração maliciosa do servidor MCP permanece e é executada novamente sempre que a lista de servidores é carregada.
“Ao contrário do código de componentes personalizados, que é visível no editor de fluxos, as configurações dos servidores MCP são armazenadas nas configurações do projeto e não ficam visíveis durante a revisão normal dos fluxos”, disse a Langflow.
Dados da Previdian mostram que 1.423 tentativas de exploração foram registradas contra seus sensores honeypot (armadilhas digitais que simulam sistemas vulneráveis para registrar ataques) desde 19 de setembro de 2026. As tentativas partiram de 27 endereços IP (Protocolo de Internet) únicos, localizados na Bélgica, China, Alemanha, Hong Kong, Japão, Nigéria, Filipinas, Rússia, Seicheles, Singapura, Coreia do Sul, Taiwan, Tanzânia, Estados Unidos e Vietnã.
A intensificação das tentativas começou em 11 de outubro de 2026, quando foram registradas 333 tentativas. Até o momento da redação desta notícia, 66 tentativas haviam sido observadas em 15 de outubro de 2026.
Como os atacantes estão obtendo acesso
“Investigamos como os atacantes estão se autenticando, já que essa vulnerabilidade exige autenticação”, disse Ryan Dewhurst, fundador e CEO da Previdian, ao The Hacker News.
“Em uma sequência observada, os atacantes verificaram a versão do Langflow, tentaram acessar /api/v1/auto_login (que retornou 403, pois estava desativado em nosso honeypot) e, em seguida, se autenticaram com sucesso usando um nome de usuário e uma senha comuns. Em seguida, usaram imediatamente o token de autenticação bearer resultante para acessar o ponto de acesso de configuração do servidor MCP vulnerável.”
Alguns dos payloads (cargas úteis) capturados incluem:
- Tentativas de extrair variáveis de ambiente e configurações sensíveis do Langflow, incluindo LANGFLOW_SECRET_KEY e LANGFLOW_SUPERUSER_PASSWORD, e transmiti-las para 146.70.211[.]112:18764.
- Comandos Docker que tentavam acessar o sistema de arquivos do host e ler o conteúdo de “/etc/passwd”.
- Sondagens de execução de comandos usando id, whoami e outros comandos simples.
Uma parcela significativa da atividade se origina do endereço IP “192.255.229[.]92”, que foi observado tentando extrair variáveis de ambiente. Dados da GreyNoise e da Previdian mostram que esse endereço realizou ataques genéricos de força bruta, além de explorar outras falhas no Flowise (CVE-2026-69255) e no Langflow (CVE-2026-55255, CVE-2026-9198 e CVE-2026-0768).
A exploração de múltiplas vulnerabilidades do Langflow aponta para um agente de ameaça desconhecido que ataca sistematicamente instâncias expostas. Seus objetivos finais ainda não estão claros.
Recomendações
“Recomendamos atualizar o Langflow para uma versão corrigida, desativar o login automático, exigir senhas fortes e exclusivas e revisar os registros de autenticação e as requisições para /api/v2/mcp/servers/ em busca de atividades suspeitas”, disse Dewhurst.
No mês passado, a Langflow também corrigiu outra vulnerabilidade crítica (CVE-2026-105697, pontuação CVSS de 9,9) que também poderia resultar em injeção de comandos do sistema operacional por meio da configuração de servidor MCP stdio.
Se a correção imediata não for uma opção, recomenda-se definir LANGFLOW_AUTO_LOGIN=false, evitar expor o Langflow diretamente a redes não confiáveis e conceder as contas do Langflow apenas a usuários de confiança.
