Atacantes intentan explotar una vulnerabilidad crítica de inyección de comandos que afecta a todas las versiones de Langflow anteriores a la 1.9.0, según la firma de seguridad Previdian. El fallo, identificado como CVE-2026-105740, permite a cualquier usuario autenticado de Langflow ejecutar comandos del sistema operativo en el servidor subyacente.
Los sensores honeypot de Previdian registraron el primer intento el 19 de septiembre, más de dos semanas antes de que se publicara la CVE, el 5 de octubre, según el informe de SecurityWeek. La firma contabilizó más de 1800 intentos procedentes de 28 direcciones IP en 16 países. Estas cifras corresponden a los sensores de Previdian y no a la explotación a escala global, y un intento no demuestra por sí solo que un sistema haya sido comprometido.
Los administradores deben actualizar Langflow a la versión 1.9.0 o posterior.
La configuración MCP sin validar llega a bash
Langflow se utiliza para crear e implementar agentes y flujos de trabajo basados en IA. La vulnerabilidad se encuentra en el tratamiento de las configuraciones de servidores Model Context Protocol.
Un usuario autenticado puede añadir un servidor MCP con el transporte Stdio e indicar un comando. En las versiones vulnerables, Langflow inserta ese valor directamente en:
bash -c "exec {command}"
No existe validación, lista de permitidos ni sandbox entre el campo controlado por el usuario y el shell. El comando se ejecuta al obtener la lista de servidores, lo que produce ejecución remota de código en el host de Langflow.
La misma configuración también acepta variables de entorno arbitrarias. Un atacante podría manipular valores como LD_PRELOAD o sobrescribir PATH, lo que abre vías adicionales para influir en qué código carga o ejecuta el servidor.
La vulnerabilidad está clasificada como CWE-78, es decir, inyección de comandos del sistema operativo. Tiene una puntuación CVSS v3 de 9,9 con el vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Esto refleja un ataque accesible desde la red, que requiere pocos privilegios y ninguna interacción del usuario, con un impacto potencialmente alto en la confidencialidad, la integridad y la disponibilidad.
Una cuenta válida es el requisito previo clave
La CVE-2026-105740 no se describe como un fallo no autenticado. La explotación requiere una cuenta válida de Langflow, aunque el registro de la NVD no restringe el problema a un rol concreto.
Esa condición hace que el control de cuentas forme parte del panorama defensivo, pero no reduce de forma sustancial la necesidad de aplicar el parche. Un usuario con pocos privilegios que pueda añadir la configuración de servidor MCP correspondiente podría cruzar el límite de la aplicación y ejecutar comandos en el host.
Las organizaciones que usan Langflow deben identificar las instalaciones anteriores a la 1.9.0 y actualizarlas. Al investigar una posible exposición, los equipos defensivos pueden priorizar las configuraciones de servidores MCP Stdio inesperadas y la actividad de las cuentas válidas capaces de crearlas. Conviene tratar el tráfico que informa Previdian como evidencia de intentos de explotación, no como prueba de que todas las instancias atacadas fueron vulneradas con éxito.
