Según un informe basado en datos de honeypots de Previdian, los atacantes intentan explotar un fallo crítico de inyección de comandos en Langflow, una plataforma de código abierto para crear aplicaciones de IA y flujos de trabajo agénticos.
La actividad se centra en CVE-2026-105740, una vulnerabilidad con CVSS 9.9 que permite a cualquier usuario autenticado de Langflow, incluido uno sin privilegios de administrador, ejecutar comandos del sistema operativo con los privilegios del proceso de Langflow. Las versiones anteriores a la 1.9.0 están afectadas, y Langflow corrigió el problema en la 1.9.0.
Según The Hacker News, Previdian registró 1.423 intentos de explotación en sus sensores desde el 19 de septiembre de 2026. Esos intentos procedían de 27 direcciones IP de origen distintas, asociadas a 15 países. Los recuentos representan actividad observada por honeypots, no compromisos exitosos ni víctimas distintas.
La actividad aumentó el 11 de octubre de 2026, cuando los sensores registraron 333 intentos. Además, hasta la publicación del informe se habían observado otros 66 intentos el 15 de octubre de 2026.
Comandos MCP controlados por el usuario llegan a bash
El aviso de seguridad de Langflow, publicado el 10 de septiembre de 2026, atribuye CVE-2026-105740 a la configuración de servidores del Model Context Protocol que usan el transporte stdio.
Un usuario autenticado puede enviar un valor command arbitrario mediante:
POST /api/v2/mcp/servers/{server_name}
Langflow pasa esa cadena a bash -c "exec {command}" sin lista de permitidos, sandbox ni una validación significativa de comandos. La comprobación disponible solo busca una instalación de Node.js cuando el comando contiene npx; no restringe rutas ejecutables, caracteres de shell ni programas permitidos.
La ejecución se activa cuando Langflow recupera la lista de servidores mediante:
GET /api/v2/mcp/servers?action_count=true
La configuración se almacena en los ajustes del proyecto y puede ejecutarse de nuevo cada vez que se carga la lista de servidores. Langflow también indicó que estas entradas MCP no son visibles durante la revisión habitual de flujos de la misma forma que el código de los componentes personalizados.
La misma configuración acepta un diccionario env controlado por el usuario que se combina con el entorno del subproceso. En Linux, esto abre vías de ataque adicionales, como modificar PATH o inyectar LD_PRELOAD.
Una explotación exitosa puede exponer secretos disponibles para el proceso de Langflow, alterar datos de la aplicación, establecer una ejecución de comandos persistente y, potencialmente, facilitar el movimiento hacia otros sistemas accesibles.
La secuencia observada en el honeypot requería credenciales válidas
Según el CEO de Previdian, Ryan Dewhurst, los operadores observados comprobaron primero la versión de Langflow y luego solicitaron /api/v1/auto_login. Ese endpoint devolvió HTTP 403 en el honeypot porque el inicio de sesión automático estaba deshabilitado.
Posteriormente, los atacantes se autenticaron con un nombre de usuario y una contraseña comunes, obtuvieron un token bearer y lo usaron para acceder al endpoint de configuración MCP vulnerable. En la secuencia observada, la explotación no eludió la autenticación: el acceso se obtuvo mediante credenciales válidas después de que fallara el inicio de sesión automático.
Las cargas útiles capturadas intentaban:
- recopilar variables de entorno y la configuración de Langflow, incluidas
LANGFLOW_SECRET_KEYyLANGFLOW_SUPERUSER_PASSWORD; - transmitir datos a
146.70.211[.]112por el puerto18764; - ejecutar comandos de Docker destinados a acceder al sistema de archivos del host y leer
/etc/passwd; - probar la ejecución de comandos con utilidades como
idywhoami.
Estas cargas útiles fueron recopiladas por honeypots y muestran la intención de los atacantes. No demuestran que los sistemas de producción hayan sido comprometidos.
Una vulnerabilidad MCP relacionada eleva el nivel de parcheo necesario
Los administradores también deben tener en cuenta CVE-2026-105697, otro problema de inyección de comandos con CVSS 9.9 que afecta al transporte stdio de MCP en Langflow anterior a la 1.10.3.
Esa vulnerabilidad también permite colocar comandos arbitrarios en la configuración de un servidor MCP. Los comandos se ejecutan cuando Langflow lista servidores, carga herramientas o ejecuta un flujo asociado. Con la configuración predeterminada LANGFLOW_AUTO_LOGIN=true, una instancia expuesta puede emitir un token mediante GET /api/v1/auto_login sin credenciales. Cuando el inicio de sesión automático está deshabilitado, un usuario autenticado que no es administrador aún puede explotar el fallo.
CVE-2026-105697 está corregida en:
- Langflow 1.10.3
langflow-base0.10.3lfx1.10.3
CVE-2026-105740 se corrigió en Langflow 1.9.0, pero esa versión no aborda el requisito de parche posterior documentado para CVE-2026-105697. Por tanto, quienes evalúen la exposición a MCP deben comprobar las versiones instaladas de Langflow y de sus paquetes relacionados, en lugar de considerar la 1.9.0 como una solución completa para esta clase de vulnerabilidad.
Una IP de origen vinculada a otras sondas contra Langflow y Flowise
Los datos de GreyNoise citados por The Hacker News asociaron 192.255.229[.]92 con una parte considerable de la actividad observada, incluidas la extracción de variables de entorno y los intentos genéricos de fuerza bruta. Esa misma dirección también se vinculó con intentos que involucran varias otras vulnerabilidades:
- CVE-2026-9198, una cadena de RCE sin autenticación en Langflow que afecta a las versiones 1.0.0 a 1.10.0 y está corregida en la 1.10.1;
- CVE-2026-55255, un fallo de autorización con autenticación anterior a la 1.9.1 que permite ejecutar el flujo de otro usuario proporcionando su ID;
- CVE-2026-0768, un fallo de inyección de código sin autenticación en el endpoint de validación de Langflow;
- CVE-2026-69255, una vulnerabilidad de inyección en CSVAgent de Flowise que afecta a
flowiseyflowise-componentshasta la 3.1.2 incluida.
La vinculación muestra actividad procedente de la misma dirección de origen, pero no establece que todos los intentos pertenecieran a una única campaña u operador.
Dos de esas vulnerabilidades de Langflow figuran en el catálogo de Vulnerabilidades Explotadas Conocidas de la CISA. CVE-2026-55255 se añadió el 7 de julio de 2026, con un plazo federal de remediación hasta el 10 de julio de 2026. CVE-2026-9198 se añadió el 4 de agosto de 2026, con plazo hasta el 7 de agosto de 2026.
En ambos casos, la CISA exige a las agencias aplicar las mitigaciones del proveedor de acuerdo con la BOD 26-04 y sus Forensics Triage Requirements. En el caso de los servicios en la nube, las agencias deben seguir la guía aplicable de la BOD 26-04 o dejar de usar el servicio si no hay mitigaciones disponibles.
Los sistemas Flowise también necesitan una actualización
CVE-2026-69255 surge porque el componente CSVAgent.ts de Flowise inserta datos derivados de CSV y controlados por el atacante directamente en código Python antes de ejecutarlo con Pyodide. La validación aplicada al código generado posteriormente por el LLM no protege ese bloque inicial.
Un atacante autenticado puede escapar de la cadena generada y usar el puente JavaScript de Pyodide para acceder a la funcionalidad de Node.js, lo que lleva a la ejecución de comandos del sistema operativo como root dentro del contenedor de Flowise.
NVD asigna al problema un CVSS 8.8. El aviso de seguridad de Flowise en GitHub, publicado el 29 de julio de 2026, presenta cálculos de gravedad distintos: CVSS 9.9 según la versión 3.1 y 9.2 según la versión 4.0. El vector v4 del aviso indica que no se requieren privilegios, mientras que su descripción técnica se refiere a un atacante autenticado.
Ambos paquetes npm afectados están corregidos en la versión 3.1.3. Como opción de remediación «Best», el aviso recomienda pasar los datos en base64 a Pyodide mediante pyodide.globals.set('base64_string', base64String) en lugar de usar interpolación de cadenas. Sus otras opciones son validar el conjunto de caracteres base64 o escapar los caracteres especiales antes de la interpolación.
Qué deben hacer los administradores de Langflow
Los operadores de Langflow deben inventariar las instancias expuestas y actualizar a versiones que corrijan todas las vulnerabilidades aplicables. Como mínimo, las correcciones documentadas son:
| Vulnerabilidad | Versiones afectadas | Versión corregida |
|---|---|---|
| CVE-2026-105740 | Anteriores a Langflow 1.9.0 | Langflow 1.9.0 |
| CVE-2026-105697 | Anteriores a Langflow 1.10.3 | Langflow 1.10.3, langflow-base 0.10.3, lfx 1.10.3 |
| CVE-2026-9198 | Langflow 1.0.0 a 1.10.0 | Langflow 1.10.1 |
| CVE-2026-55255 | Anteriores a Langflow 1.9.1 | Langflow 1.9.1 |
Cuando no sea posible aplicar el parche de inmediato, los administradores deben establecer LANGFLOW_AUTO_LOGIN=false, evitar exponer Langflow directamente a redes no confiables y restringir las cuentas a usuarios de confianza con contraseñas robustas y únicas.
Los defensores deben revisar los registros de autenticación, las solicitudes que involucran /api/v1/auto_login y la actividad dirigida a /api/v2/mcp/servers/. También conviene inspeccionar las configuraciones de servidores MCP almacenadas, porque una entrada maliciosa puede ejecutarse repetidamente cuando Langflow carga la lista de servidores. Las conexiones a 146.70.211[.]112:18764 y la actividad asociada a 192.255.229[.]92 pueden ser pistas de investigación útiles, pero deben evaluarse en contexto y no considerarse por sí solas como prueba de compromiso.
