CVE-2026-0768: exploitation attiva di Langflow, 360+ attacchi in poche ore

Threat actors stanno sfruttando attivamente la vulnerabilità critica CVE-2026-0768 in Langflow, piattaforma open-source di orchestrazione AI low-code. Entro il 1 settembre 2026 VulnCheck ha rilevato oltre 360 tentativi di exploitation contro i propri canary nel Regno Unito, con traffico originato principalmente dalla Russia. La criticità risiede nella combinazione di tre fattori: RCE non autenticato, esecuzione con privilegi di root, e la natura delle piattaforme AI come concentratore di credenziali cloud e chiavi API sensibili.

Il meccanismo: exec/eval senza filtri sul percorso di validazione

Il difetto risiede nel code validator del custom component editor di Langflow. L'advisory ZDI-26-034 descrive con precisione la catena: un attaccante remoto fornisce una stringa al parametro code dell'endpoint /api/v1/validate/code; la stringa viene passata direttamente a exec/eval senza validazione preventiva, consentendo l'esecuzione arbitraria di codice Python nel contesto dell'utente root. L'autenticazione non è richiesta.

Il record NVD classifica la vulnerabilità come CWE-94 (Improper Control of Generation of Code Code Injection) con vettore CVSS 3.0 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tutte le release Langflow fino alla versione 1.4.2 risultano affette, secondo SecurityWeek.

Timeline: dalla segnalazione ZDI allo zero-day di gennaio 2026

La vulnerabilità è stata riportata al vendor tramite Zero Day Initiative il 18 luglio 2025. ZDI ha divulgato pubblicamente l'advisory ZDI-26-034 nel gennaio 2026 come caso zero-day, indicando nel campo mitigation la sola restrizione dell'accesso. Il lasso di tempo tra segnalazione e disclosure pubblica — circa sei mesi — non ha impedito che l'exploitation in-the-wild iniziasse con velocità immediata una volta resi noti i dettagli tecnici.

Il confronto tra questa lentezza istituzionale e la rapidità degli attaccanti costituisce uno dei pattern ricorrenti del 2026 per le piattaforme AI. Secondo VulnCheck, citato da SecurityWeek: prima del 2026 esisteva evidenza di una sola vulnerabilità Langflow exploited in-the-wild; nel 2026 si sono aggiunte 11 vulnerabilità aggiuntive targettate e riportate come exploited, con un cambiamento di ritmo definito "fast" dalla stessa fonte.

"Before 2026, evidence showed only one Langflow vulnerability known to be exploited in the wild. In 2026, things have changed fast. We've now seen 11 additional vulnerabilities targeted and reported as exploited in the wild, highlighting increasing attacker interest in Langflow." — VulnCheck, via SecurityWeek

L'esploitation in numeri: 360 tentativi e oltre 15.000 attacchi su multi-CVE

VulnCheck ha rilevato oltre 360 tentativi di exploitation contro i propri canary nel Regno Unito entro il 1 settembre 2026. The Hacker News precisa che le rilevazioni iniziali erano circa 50 in poche ore il 30 agosto, salite poi a 360. Il traffico proviene "primarily from Russia" e ha colpito "exclusively Canaries in the U.K." secondo Caitlin Condon, VP threat research di VulnCheck.

Il dato di 15.000 attacchi riusciti — riportato da SecurityWeek e The Hacker News — si riferisce tuttavia a un aggregato di tre vulnerabilità Langflow distinte: CVE-2026-0769, CVE-2025-3248 e CVE-2026-5027, non solo alla CVE-2026-0768 oggetto del presente articolo. CVE-2026-0769 ha anch'esso CVSS 9.8; CVE-2025-3248 ha CVSS 9.8; CVE-2026-5027 ha CVSS 8.8.

Attività post-exploitation: ricognizione mirata a credenziali AI e cloud

Le richieste osservate non sono tentativi casuali ma attività strutturate di ricognizione e raccolta credenziali. Secondo Caitlin Condon, citata da The Hacker News:

"Adversaries appear to be conducting a mix of reconnaissance and credential harvesting activities: Among other things, attacker requests are querying environment variables (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), reading /root/.cache/langflow/secret_key, and checking .ssh access and .bash_history size."

Il pattern rivela un interesse specifico per le chiavi di servizio AI (OpenAI) e le credenziali di accesso ai provider cloud (AWS), tipiche delle installazioni Langflow self-hosted. La posizione di root consente l'accesso a file di configurazione e cronologia shell che altrimenti sarebbero inaccessibili.

Cosa fare adesso

• Verificare la versione installata: tutte le release Langflow fino alla 1.4.2 risultano affette da CVE-2026-0768. Gli operatori devono identificare se l'istanza in uso rientra in questo intervallo.
• Monitorare l'endpoint /api/v1/validate/code: il punto di ingresso della vulnerabilità è noto e specifico; il logging diretto su questo percorso permette di rilevare tentativi di exploitation.
• Isolare le istanze esposte a internet: l'advisory ZDI indica come mitigazione la restrizione dell'accesso; istanze self-hosted raggiungibili pubblicamente presentano superficie di attacco massima.
• Rileggere le variabili d'ambiente e i secret persistenti: le attività osservate targettano esplicitamente LANGFLOW_SUPERUSER, chiavi OpenAI e credenziali AWS; la verifica di eventuali esposizioni precedenti è necessaria anche in assenza di conferma di compromissione.

Perché Langflow è diventato un perimetro critico

Le piattaforme di orchestrazione AI come Langflow concentrano in un unico punto di failure credenziali di multiple supply chain: modelli language (OpenAI), infrastruttura cloud (AWS), e accesso amministrativo alla piattaforma stessa. Il modello low-code abbassa la barriera all'adozione ma non sempre accompagna la visibilità sulla postura di sicurezza, specialmente in deployment self-managed.

L'escalation da una a dodici vulnerabilità Langflow exploited in-the-wild nel 2026 segnala un interesse sistematico degli attaccanti, non episodico. La natura non autenticata e il privilegio di root di CVE-2026-0768 eliminano ogni fase di lateral movement iniziale: la compromissione è immediata e totale.

Il dossier non specifica se esista al momento una patch disponibile per CVE-2026-0768; l'advisory ZDI indica solo mitigazione per restrizione accesso. L'impatto su installazioni al di fuori dei canary di VulnCheck nel Regno Unito non è quantificato, e non è identificato un gruppo threat actor specifico oltre all'indicazione geografica del traffico.

Fonti

• https://www.securityweek.com/hackers-start-exploiting-critical-langflow-vulnerability/
• https://thehackernews.com/2026/09/attackers-exploit-critical-langflow-and.html
• https://radar.offseq.com/threat/hackers-start-exploiting-critical-langflow-vulnerability-06d6c6d7f34e707d
• https://nvd.nist.gov/vuln/detail/CVE-2026-0768
• https://cybernews.com/security/critical-langflow-vulnerability-exploited-in-the-wild/
• https://www.bleepingcomputer.com/news/security/cisa-warns-of-hackers-exploiting-langflow-n-central-apache-tomcat-flaws/
• https://www.zerodayinitiative.com/advisories/ZDI-26-034/
• https://nvd.nist.gov/vuln/detail/CVE-2026-0769
• https://nvd.nist.gov/vuln/detail/CVE-2025-3248
• https://nvd.nist.gov/vuln/detail/cve-2026-5027
• https://nvd.nist.gov/vuln/detail/cve-2026-34486

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti