Langflow: CISA ordina patch in 72 ore per RCE pre-autenticazione come root

Il Cybersecurity and Infrastructure Security Agency (CISA) ha inserito CVE-2026-0770 nel catalogo Known Exploited Vulnerabilities il 21 luglio 2026, con scadenza di remediation fissata al 24 luglio 2026 per le agenzie federali statunitensi (FCEB). La vulnerabilità consente esecuzione remota di codice arbitrario come processo root in Langflow senza richiedere alcuna autenticazione. L'exploitation in-the-wild è documentata dal 27 giugno 2026, con payload che superano la semplice ricognizione di sistema.

Il meccanismo tecnico: exec_globals senza confini

Il difetto risiede nel modo in cui Langflow gestisce il parametro exec_globals dell'endpoint /api/v1/validate/code. Secondo l'advisory ZDI-26-036, questo endpoint "accetta ed esegue codice Python arbitrario senza autenticazione". La classificazione CWE-829 — Inclusion of Functionality from Untrusted Control Sphere — indica che il sistema incorpora risorse da una sfera di controllo non affidabile senza validazione sufficiente.

Il record NVD CVE-2026-0770 conferma il vettore di attacco e l'impatto: esecuzione di codice nel contesto di root. Il punteggio CVSS 3.0 di 9.8, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, riflette accesso rete, complessità bassa, nessun privilegio richiesto, nessuna interazione utente, impatto totale su confidenzialità, integrità e disponibilità.

La combinazione di accesso remoto, assenza di autenticazione e privilegi massimi trasforma ogni istanza esposta in un potenziale punto di ingresso per il compromesso completo dell'host sottostante.

"The specific flaw exists within the handling of the exec_globals parameter provided to the validate endpoint. An attacker can leverage this vulnerability to execute code in the context of root." — Zero Day Initiative, advisory ZDI-26-036

Una timeline di sei mesi senza patch immediata

La vulnerabilità è stata segnalata a Langflow il 18 luglio 2025, secondo la timeline strutturata dell'advisory ZDI-26-036. L'advisory pubblico è uscito il 9 gennaio 2026. Tra la segnalazione e l'inserimento nel KEV catalog di CISA sono trascorsi quasi dodici mesi; tra la pubblicazione dell'advisory e l'exploitation documentata, circa sei mesi.

Questa finestra temporale è particolarmente rilevante per una piattaforma con oltre 150.000 stelle GitHub e adozione enterprise — Langflow è passato attraverso acquisizioni da DataStax e successivamente IBM, posizionandosi come strumento centrale per workflow di intelligenza artificiale in ambienti corporate.

L'assenza di patch immediata non è un'eccezione nel panorama delle vulnerabilità AI-infrastructure, ma la gravità di questa falla — pre-autenticazione, RCE, root — la colloca in una categoria di rischio dove la temporizzazione diventa essa stessa un attore del compromesso.

L'attacco in corso: oltre la ricognizione

Kevin Beaumont di KEVIntel ha rilevato exploitation attiva a partire dal 27 giugno 2026. I dati raccolti mostrano oltre 220 tentativi provenienti da 64 indirizzi IP unici. Questi numeri, riportati da BleepingComputer con attribuzione a KEVIntel, indicano una campagna distribuita piuttosto che scansioni isolate.

Ryan Dewhurst, fondatore di KEVIntel, ha precisato che "most activity involved command-execution checks or system reconnaissance. However, KEVIntel also observed attempts to download second-stage scripts and access environment variables, cloud metadata and credential files". Questa escalation dal reconnaissance al furto di credenziali AWS e al recupero di metadata container segna un pattern operativo che punta al compromesso persistente dell'infrastruttura cloud adiacente.

Il dossier non identifica attori di minaccia specifici dietro questi tentativi. Il passaggio da verifica di esecuzione comando a download di script secondari suggerisce operazioni più strutturate rispetto a una semplice sonda automatica.

Cosa fare adesso

Ryan Dewhurst, attraverso KEVIntel via BleepingComputer, ha indicato azioni concrete per le organizzazioni che operano Langflow:

• Investigare le richieste storiche all'endpoint /api/v1/validate/code per identificare accessi sospetti o esecuzioni non autorizzate
• Rivedere l'attività host sui sistemi che eseguono Langflow, con attenzione a processi anomali avviati nel periodo di esposizione
• Restringere l'accesso alla funzionalità di validazione codice, limitando la superficie esposta dove tecnicamente fattibile
• Rotare le credenziali esposte dove non sia possibile escludere esecuzione riuscita, in particolare credenziali cloud e variabili d'ambiente

Il record NVD CVE-2026-0770 indica versioni affette fino a 1.7.3 inclusa. Le release notes ufficiali di Langflow non sono citate nel dossier come fonte primaria per la patch specifica; l'aggiornamento a versioni successive alla 1.7.3 è la linea d'azione deducibile dalla CPE pubblicata.

Perché la pressione CISA cambia il quadro

L'inserimento nel KEV catalog con scadenza BOD 26-04 al 24 luglio 2026 impone alle agenzie federali USA un ritmo di remediation di 72 ore. Questa tempistica, applicata a una vulnerabilità pre-autenticazione su piattaforma AI, trasforma CVE-2026-0770 da advisory tecnico a evento di governance cyber con effetto cascata sulle supply chain.

La tripla pressione descritta nel brief — divulgazione protratta, exploitation attiva, priorità di sicurezza non all'altezza dell'adozione — trova qui il suo punto di convergenza. Le organizzazioni private che usano Langflow, anche non vincolate dal BOD 26-04, operano ora in un contesto dove la CISA ha decretato il rischio incontenibile senza intervento immediato.

Il ~7.000 istanze esposte rilevato da VulnCheck per CVE-2026-5027 — una vulnerabilità distinta di path traversal in Langflow — non si applica direttamente a CVE-2026-0770, ma fornisce una stima d'ordine della superficie di attacco della piattaforma. Il numero reale di installazioni vulnerabili alla RCE pre-autenticazione non è quantificato nel dossier.

La domanda aperta sulla sicurezza delle piattaforme AI

Langflow non è un tool marginale. La sua posizione come orchestratore di workflow AI lo colloca spesso a ridosso di dati sensibili, API di modello e infrastruttura cloud. La combinazione di popolarità open source, acquisizioni enterprise e questa specifica falla — esecuzione di codice arbitrario come root con un solo POST — solleva una questione più ampia sulla maturità di sicurezza delle piattaforme che mediano l'adozione AI in produzione.

Il dossier non documenta compromissioni confermate oltre ai tentativi osservati. Non identifica patch specifiche oltre l'indicazione di versioni >1.7.3. Non attribuisce l'attività offensiva a gruppi noti. Questi limiti, tuttavia, non attenuano la gravità del segnale: una piattaforma AI con adozione massiccia, RCE pre-autenticazione come root, exploitation documentata e intervento governativo in 72 ore.

La prossima settimana dirà se la risposta sarà all'altezza della velocità con cui il rischio si è materializzato.

Fonti

• https://www.tomshw.it/hardware/langflow-falla-rce-sfruttata-codice-eseguibile-come-root-senza-autenticazione
• https://labs.cloudsecurityalliance.org/research/csa-research-note-langflow-cve-2026-5027-active-exploitation/
• https://www.securityweek.com/hackers-exploit-langflow-vulnerability-for-remote-code-execution/
• https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-actively-exploited-langflow-rce-flaw/
• https://www.zerodayinitiative.com/advisories/ZDI-26-036/
• https://nvd.nist.gov/vuln/detail/CVE-2026-0770
• https://nvd.nist.gov/vuln/detail/CVE-2026-21445
• https://nvd.nist.gov/vuln/detail/cve-2026-5027
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-0770