Langflow bajo ataque: una vulnerabilidad RCE expone claves de OpenAI, AWS y credenciales de root

Actores maliciosos están explotando CVE-2026-0768, una vulnerabilidad crítica de Langflow que permite ejecutar código Python de forma remota y sin autenticación. Los ataques se dirigen principalmente a los secretos almacenados en el entorno: claves API de OpenAI, credenciales de AWS, tokens administrativos y datos que pueden utilizarse para ampliar la intrusión.

La noticia se publicó el 1 de septiembre de 2026. VulnCheck detectó la actividad mediante honeypots en el Reino Unido y registró inicialmente al menos 50 intentos durante un fin de semana no especificado. Posteriormente, la investigadora Caitlin Condon informó de un total de 360 ataques observados.

El validador de Langflow ejecuta código controlado por el atacante

Langflow es un framework open source basado en Python para crear aplicaciones de inteligencia artificial mediante una interfaz low-code. Permite conectar modelos de lenguaje, prompts, bases de datos, API y otras herramientas para desarrollar agentes, chatbots y sistemas RAG.

La vulnerabilidad afecta al editor de componentes personalizados y, en particular, al endpoint utilizado para validar el código. El parámetro code, controlable por el usuario, no se valida correctamente antes de emplearse para ejecutar código Python.

Por tanto, un atacante puede enviar una solicitud especialmente diseñada al endpoint validate y conseguir la ejecución de instrucciones arbitrarias. No se necesitan credenciales ni la interacción de un usuario legítimo.

Además, el código se ejecuta en el contexto del usuario root. Este detalle convierte la vulnerabilidad, que podría limitarse a un acceso a la aplicación, en una posible toma de control completa del host o del contenedor que ejecuta Langflow.

CVE-2026-0768 está clasificada como CWE-94, es decir, generación inadecuada de código y la consiguiente code injection. Su identificador en Zero Day Initiative es ZDI-CAN-27322, con el advisory ZDI-26-034.

El vector asignado por la CNA Zero Day Initiative es:

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

La puntuación asociada es de 9,8 sobre 10. Sin embargo, NVD todavía no ha publicado su propia valoración numérica: en la ficha correspondiente, la puntuación base de NVD figura como N/A.

Versiones afectadas y actualización a la 1.11.6

El alcance de las versiones vulnerables no está descrito de forma completamente uniforme. NVD indica Langflow 1.4.2 en su tabla, mientras que otros informes también incluyen versiones anteriores a la 1.4.2.

Para evitar interpretaciones demasiado restrictivas, los administradores no deberían limitarse a comprobar si está instalada únicamente la release 1.4.2. La medida recomendada es actualizar directamente a Langflow 1.11.6, indicada como la versión que corrige todas las vulnerabilidades conocidas del producto.

CVE-2026-0768 no figura entre las vulnerabilidades incluidas en el catálogo Known Exploited Vulnerabilities (KEV) de CISA. Por tanto, no hay una fecha de inclusión en el catálogo ni un plazo federal específico para esta CVE.

Sin embargo, la ausencia en KEV no implica que no se esté explotando. En este caso, la explotación se observó directamente mediante honeypots, aunque no constan pruebas de concepto públicas para CVE-2026-0768.

El tráfico procedía principalmente de Rusia, pero este dato no permite atribuir la campaña. No se ha identificado a un grupo concreto y el origen de las conexiones podría corresponder a servidores comprometidos, proxies o infraestructuras adquiridas por los atacantes.

Los atacantes buscan secretos de Langflow, AWS y OpenAI

Tras obtener la ejecución de código, los atacantes realizan tareas de reconocimiento en el host y consultan las variables de entorno. Se trata de una estrategia especialmente eficaz contra las aplicaciones de IA, que a menudo reciben secretos directamente mediante configuraciones de runtime, archivos .env o sistemas de orquestación.

Entre los elementos buscados se encuentran:

• variables LANGFLOW_SUPERUSER;
• variables con el prefijo OPENAI_API*;
• credenciales AWS_ACCESS*;
• secretos AWS_SECRET*;
• archivo /root/.cache/langflow/secret_key;
• contenido o accesibilidad del directorio .ssh;
• tamaño y disponibilidad de .bash_history.

El robo de una clave de OpenAI puede permitir consumos fraudulentos de API, acceso a los recursos asociados a la cuenta o consultas realizadas a expensas de la víctima. Las consecuencias dependen de los permisos y servicios vinculados a la clave.

Las credenciales de AWS pueden tener un impacto aún mayor. Si están asociadas a roles IAM con permisos excesivos, pueden permitir el acceso a almacenamiento, bases de datos, workloads, gestores de secretos e infraestructuras de cómputo.

Los tokens de superusuario de Langflow también son sensibles. Un atacante podría utilizarlos para modificar workflows, leer configuraciones, manipular componentes o preparar accesos adicionales.

Las claves expuestas deben considerarse comprometidas incluso cuando los registros no muestren un uso inmediato. Los atacantes pueden conservarlas y reutilizarlas posteriormente desde infraestructuras diferentes.

Cómo buscar indicios de una posible intrusión

La actualización corrige la vulnerabilidad, pero no elimina los accesos que ya se hayan obtenido. En una instancia expuesta, especialmente si es accesible desde Internet, el parche debe complementarse con actividades de respuesta ante incidentes.

En los logs de la aplicación y del reverse proxy deben buscarse solicitudes anómalas a los endpoints de validación, prestando especial atención a los parámetros code y exec_globals. También son relevantes los payloads que contengan instrucciones Python, llamadas al shell, accesos al sistema de archivos o enumeración de variables de entorno.

En el sistema debe comprobarse lo siguiente:

• lecturas inesperadas de /root/.cache/langflow/secret_key;
• accesos a .ssh y .bash_history;
• procesos Python o de shell iniciados por el servicio de Langflow;
• procesos hijos incompatibles con el funcionamiento normal;
• nuevos usuarios, claves SSH, cron jobs u otros mecanismos de persistencia;
• archivos creados o modificados en rutas no previstas;
• conexiones salientes hacia destinos desconocidos;
• cambios en contenedores, imágenes y volúmenes persistentes.

Los servicios externos también requieren revisión. Los logs de AWS deben analizarse para detectar autenticaciones desde direcciones, regiones y user agents inusuales, así como cambios en IAM o accesos anómalos a los datos. En OpenAI deben comprobarse el uso, el consumo y la facturación asociados a las claves presentes en la instancia.

Aplicar parches, aislar el sistema y rotar todas las credenciales

La prioridad es actualizar Langflow a la versión 1.11.6. Si no es posible hacerlo de inmediato, la instancia debería retirarse de la exposición pública o protegerse mediante firewall, security groups y controles del reverse proxy.

Los endpoints de validación, autenticación automática, carga de archivos y gestión de flows no deberían ser accesibles directamente desde redes no confiables. Esta limitación reduce la superficie expuesta, pero no sustituye a la actualización.

Tras una posible explotación, como mínimo deben rotarse:

1. claves y secretos de AWS;
2. claves API de OpenAI;
3. credenciales y tokens de superusuario de Langflow;
4. claves de aplicación locales;
5. credenciales SSH accesibles para el proceso;
6. otros tokens presentes en las variables de entorno o en los archivos de configuración.

También conviene revisar los permisos de IAM y aplicar el principio de mínimo privilegio. Si una instancia no puede actualizarse ni aislarse adecuadamente, la opción más segura es dejar de utilizarla.

Una secuencia de vulnerabilidades ya explotadas contra Langflow

CVE-2026-0768 llega después de varias vulnerabilidades de Langflow incorporadas al catálogo KEV de CISA.

CVE-2026-33017, una RCE en el endpoint para construir flows públicos, figura en KEV desde el 25-03-2026, con plazo federal hasta el 08-04-2026. La vulnerabilidad afecta a langflow < 1.8.2 y permite pasar a exec() código Python incorporado en nodos controlados por el atacante.

CVE-2026-55255 figura en KEV desde el 07-07-2026, con remediación requerida antes del 10-07-2026. Se trata de una IDOR, corregida en la versión 1.9.1, que permitía a un usuario autenticado ejecutar flows pertenecientes a otras cuentas.

CVE-2026-0770, incluida en KEV desde el 21-07-2026 con plazo hasta el 24-07-2026, aprovecha el parámetro exec_globals del endpoint validate para obtener ejecución remota como root. Las versiones afectadas son langflow <= 1.7.3.

CVE-2026-9198 se añadió a KEV el 04-08-2026, con plazo hasta el 07-08-2026. La cadena combina la emisión de tokens SUPERUSER mediante /api/v1/auto_login con la ejecución de código a través de /api/v1/validate/code; afecta a langflow < 1.10.1.

El catálogo también incluye CVE-2025-3248, incorporada el 05-05-2025 con plazo hasta el 26-05-2025 y utilizada en campañas de ransomware.

Esta secuencia demuestra un riesgo operativo concreto para las instalaciones de Langflow expuestas. Aplicar únicamente el parche no es suficiente cuando una RCE con privilegios de root ya ha sido explotada: también se necesitan rotación de secretos, triaje forense y una revisión de toda la infraestructura conectada.