Des attaquants tentent d'exploiter une faille critique d'injection de commandes dans Langflow, une plateforme open source de création d'applications d'IA et de workflows agentiques, selon un rapport fondé sur les données de honeypots de Previdian.
L'activité porte sur la CVE-2026-105740, une vulnérabilité notée CVSS 9.9 qui permet à tout utilisateur authentifié de Langflow, y compris un utilisateur sans droits d'administration, d'exécuter des commandes du système d'exploitation avec les privilèges du processus Langflow. Les versions antérieures à la 1.9.0 sont concernées ; Langflow a corrigé le problème dans la version 1.9.0.
Previdian a enregistré 1 423 tentatives d'exploitation sur ses capteurs à partir du 19 septembre 2026, selon The Hacker News. Ces tentatives provenaient de 27 adresses IP sources uniques, associées à 15 pays. Ces chiffres correspondent à une activité observée par les honeypots, et non à des compromissions réussies ni à des victimes distinctes.
L'activité a augmenté le 11 octobre 2026, date à laquelle les capteurs ont enregistré 333 tentatives. Au moment de la publication du rapport, 66 tentatives supplémentaires avaient été observées le 15 octobre 2026.
Des commandes MCP contrôlées par l'utilisateur atteignent bash
L'avis de sécurité Langflow, publié le 10 septembre 2026, fait remonter la CVE-2026-105740 à la configuration des serveurs Model Context Protocol utilisant le transport stdio.
Un utilisateur authentifié peut soumettre une valeur command arbitraire via :
POST /api/v2/mcp/servers/{server_name}
Langflow transmet cette chaîne à bash -c "exec {command}" sans liste d'autorisation, sans bac à sable ni validation réelle de la commande. La seule vérification existante recherche une installation de Node.js lorsque la commande contient npx ; elle ne restreint ni les chemins d'exécutables, ni les caractères de l'interpréteur, ni les programmes autorisés.
L'exécution se déclenche lorsque Langflow récupère la liste des serveurs via :
GET /api/v2/mcp/servers?action_count=true
La configuration est stockée dans les paramètres du projet et peut être exécutée à nouveau chaque fois que la liste des serveurs est chargée. Langflow indique également que ces entrées MCP ne sont pas visibles de la même manière que le code des composants personnalisés lors de la revue habituelle d'un flux.
La même configuration accepte un dictionnaire env contrôlé par l'utilisateur, fusionné dans l'environnement du sous-processus. Sous Linux, cela ouvre des chemins d'attaque supplémentaires, comme la modification de PATH ou l'injection de LD_PRELOAD.
Une exploitation réussie peut exposer des secrets accessibles au processus Langflow, modifier des données applicatives, établir une exécution de commandes persistante et faciliter potentiellement des déplacements vers d'autres systèmes accessibles.
La séquence observée sur le honeypot exigeait des identifiants valides
Selon Ryan Dewhurst, PDG de Previdian, les opérateurs observés ont d'abord vérifié la version de Langflow, puis demandé /api/v1/auto_login. Ce point d'accès a renvoyé une erreur HTTP 403 sur le honeypot, car la connexion automatique y était désactivée.
Les attaquants se sont ensuite authentifiés avec un nom d'utilisateur et un mot de passe courants, ont obtenu un jeton porteur et s'en sont servis pour atteindre le point d'accès de configuration MCP vulnérable. Dans cette séquence observée, l'exploitation n'a pas contourné l'authentification : l'accès a été obtenu avec des identifiants valides, après l'échec de la connexion automatique.
Les charges utiles capturées tentaient de :
- collecter les variables d'environnement et les paramètres de Langflow, notamment
LANGFLOW_SECRET_KEYetLANGFLOW_SUPERUSER_PASSWORD; - transmettre des données à
146.70.211[.]112sur le port18764; - exécuter des commandes Docker destinées à accéder au système de fichiers de l'hôte et à lire
/etc/passwd; - tester l'exécution de commandes avec des utilitaires comme
idetwhoami.
Ces charges utiles ont été collectées par les honeypots et traduisent l'intention des attaquants. Elles ne permettent pas d'établir que des systèmes de production ont été compromis.
Une faille MCP connexe relève le niveau de correctif requis
Les administrateurs doivent aussi prendre en compte la CVE-2026-105697, une autre faille d'injection de commandes notée CVSS 9.9, qui affecte le transport stdio MCP de Langflow avant la version 1.10.3.
Cette vulnérabilité permet elle aussi aux utilisateurs d'insérer des commandes arbitraires dans la configuration d'un serveur MCP. Les commandes s'exécutent lorsque Langflow liste les serveurs, charge les outils ou exécute un flux associé. Avec le paramètre par défaut LANGFLOW_AUTO_LOGIN=true, une instance exposée peut délivrer un jeton via GET /api/v1/auto_login sans identifiants. Lorsque la connexion automatique est désactivée, un utilisateur authentifié sans droits d'administration peut encore exploiter la faille.
La CVE-2026-105697 est corrigée dans :
- Langflow 1.10.3 ;
langflow-base0.10.3 ;lfx1.10.3.
La CVE-2026-105740 a été corrigée dans Langflow 1.9.0, mais cette version ne traite pas l'exigence de correctif ultérieure documentée pour la CVE-2026-105697. Les opérateurs qui évaluent leur exposition MCP doivent donc vérifier les versions installées de Langflow et de ses paquets associés, plutôt que de considérer la 1.9.0 comme une résolution complète de cette classe de vulnérabilité.
Une même adresse IP liée à d'autres sondages visant Langflow et Flowise
Les données de GreyNoise citées par The Hacker News associent 192.255.229[.]92 à une part importante de l'activité observée, notamment l'extraction de variables d'environnement et des tentatives de force brute génériques. La même adresse est aussi liée à des tentatives impliquant plusieurs autres vulnérabilités :
- CVE-2026-9198, une chaîne d'exécution de code à distance non authentifiée visant Langflow, affectant les versions 1.0.0 à 1.10.0 et corrigée dans la 1.10.1 ;
- CVE-2026-55255, une faille d'autorisation nécessitant une authentification, présente avant la 1.9.1, qui permet d'exécuter le flux d'un autre utilisateur en fournissant son identifiant ;
- CVE-2026-0768, une faille d'injection de code non authentifiée dans le point d'accès de validation de Langflow ;
- CVE-2026-69255, une vulnérabilité d'injection dans le CSVAgent de Flowise, affectant
flowiseetflowise-componentsjusqu'à la 3.1.2.
Ce lien montre une activité provenant de la même adresse source, mais il n'établit pas que chaque tentative appartenait à une seule campagne ou à un seul opérateur.
Deux de ces failles Langflow figurent dans le catalogue KEV de la CISA. La CVE-2026-55255 y a été ajoutée le 7 juillet 2026, avec un délai fédéral de correction fixé au 10 juillet 2026. La CVE-2026-9198 y a été ajoutée le 4 août 2026, avec un délai fixé au 7 août 2026.
Pour les deux, la CISA exige des agences qu'elles appliquent les mesures d'atténuation du fournisseur conformément à la directive BOD 26-04 et à ses Forensics Triage Requirements. Pour les services cloud, elles doivent suivre les consignes applicables de la BOD 26-04 ou cesser d'utiliser le service si les mesures d'atténuation ne sont pas disponibles.
Les systèmes Flowise doivent eux aussi être mis à jour
La CVE-2026-69255 existe parce que le composant CSVAgent.ts de Flowise insère directement dans du code Python des données issues d'un CSV contrôlable par l'attaquant, avant de les exécuter avec Pyodide. La validation appliquée ensuite au code généré par le LLM ne protège pas ce bloc initial.
Un attaquant authentifié peut sortir de la chaîne générée et utiliser le pont JavaScript de Pyodide pour accéder aux fonctionnalités de Node.js, ce qui conduit à l'exécution de commandes système en tant que root dans le conteneur Flowise.
Le NVD attribue à la faille un score CVSS 8.8. Le avis de sécurité Flowise sur GitHub, publié le 29 juillet 2026, présente des calculs de gravité différents : CVSS 9.9 selon la version 3.1 et 9.2 selon la version 4.0. Le vecteur v4 de l'avis indique l'absence de privilèges, alors que sa description technique évoque un attaquant authentifié.
Les deux paquets npm concernés sont corrigés dans la version 3.1.3. Parmi les options de correction, la meilleure (« Best ») consiste à transmettre les données base64 à Pyodide via pyodide.globals.set('base64_string', base64String), au lieu d'utiliser une interpolation de chaînes. Les autres options consistent à valider le jeu de caractères base64 ou à échapper les caractères spéciaux avant l'interpolation.
Ce que doivent faire les administrateurs de Langflow
Les opérateurs de Langflow doivent inventorier leurs instances exposées et passer à des versions qui corrigent l'ensemble des failles applicables. Au minimum, les correctifs documentés sont les suivants :
| Vulnérabilité | Versions concernées | Version corrigée |
|---|---|---|
| CVE-2026-105740 | Avant Langflow 1.9.0 | Langflow 1.9.0 |
| CVE-2026-105697 | Avant Langflow 1.10.3 | Langflow 1.10.3, langflow-base 0.10.3, lfx 1.10.3 |
| CVE-2026-9198 | Langflow 1.0.0 à 1.10.0 | Langflow 1.10.1 |
| CVE-2026-55255 | Avant Langflow 1.9.1 | Langflow 1.9.1 |
Lorsqu'un correctif immédiat n'est pas possible, les administrateurs doivent définir LANGFLOW_AUTO_LOGIN=false, éviter d'exposer Langflow directement à des réseaux non fiables et réserver les comptes à des utilisateurs de confiance, dotés de mots de passe robustes et uniques.
Les défenseurs doivent examiner les journaux d'authentification, les requêtes vers /api/v1/auto_login et l'activité visant /api/v2/mcp/servers/. Les configurations de serveurs MCP enregistrées méritent également un contrôle, car une entrée malveillante peut s'exécuter à répétition lorsque Langflow charge la liste des serveurs. Les connexions vers 146.70.211[.]112:18764 et l'activité associée à 192.255.229[.]92 peuvent constituer des pistes d'enquête utiles, mais doivent être évaluées dans leur contexte et ne pas être considérées isolément comme une preuve de compromission.
