Langflow sotto attacco: i server MCP diventano vettore di RCE autenticata

La piattaforma Langflow, acquisita da IBM nel febbraio 2025 dopo l'acquisizione di DataStax, registra oltre 1.400 tentativi di exploit diretti contro una vulnerabilità critica scoperta nel suo sistema di gestione server MCP. I dati raccolti dall'honeypot di Previdian tra il 19 settembre e il 15 ottobre 2026 documentano un'escalation concreta: dall'11 ottobre i tentativi sono saliti a 333 in un solo giorno, con 66 rilevamenti nella giornata della pubblicazione. Il caso solleva un problema architetturale specifico dello stack AI-agentico: le configurazioni MCP, progettate per l'interoperabilità tra modelli e strumenti, sfuggono alla visibilità dei flussi di revisione standard.

Il meccanismo: da campo di configurazione a shell arbitraria

La vulnerabilità risiede nella gestione del Model Context Protocol, l'architettura promossa da Anthropic per standardizzare la connessione tra modelli linguistici e strumenti esterni. In Langflow, la creazione di un server MCP con transport stdio consente all'utente di specificare un comando da eseguire: quel campo viene elaborato tramite bash -c 'exec {command}' senza alcun controllo intermedio.

La criticità è duplice. Primo: l'assenza di validazione, allowlisting o sandboxing permette l'injection di comandi arbitrari del sistema operativo. Secondo: il campo env accetta variabili d'ambiente definite dall'utente, aprendo a tecniche come LD_PRELOAD o PATH override per alterare il comportamento dell'esecuzione. Il trigger è sincrono: il comando si attiva non su una chiamata esplicita, ma sul semplice fetch della lista server MCP, un'operazione che l'applicazione esegue automaticamente.

"Any authenticated Langflow user (including non-admin accounts) can execute arbitrary OS commands on the server with the privileges of the Langflow process"

La persistenza amplifica il rischio. Una volta inserita, la configurazione malevola rimane memorizzata nelle impostazioni di progetto e riesegue a ogni caricamento della lista server. Questa caratteristica distingue il vettore MCP dai custom component, il cui codice è visibile nell'editor di flusso e sottoposto a revisione naturale nel workflow di sviluppo.

I numeri dell'honeypot: geografia e tattiche degli attaccanti

L'honeypot di Previdian, società fondata da Ryan Dewhurst, ha catturato 1.423 tentativi di exploit distribuiti su 27 indirizzi IP unici originari di 15 paesi: Belgio, Cina, Germania, Hong Kong, Giappone, Nigeria, Filippine, Russia, Seychelles, Singapore, Corea del Sud, Taiwan, Tanzania, USA e Vietnam. La distribuzione geografica suggerisce attività orchestrata piuttosto che scansioni opportunistiche isolate.

L'analisi della sequenza di attacco rivela un pattern strutturato. Gli operatori verificano prima la versione di Langflow, tentano l'endpoint /api/v1/auto_login — che nell'honeypot restituisce 403 in quanto disabilitato — e procedono con credential stuffing usando credenziali comuni. Autenticati, utilizzano il bearer token per accedere all'endpoint di configurazione MCP server vulnerabile.

I comandi osservati includono tentativi di estrazione di LANGFLOW_SECRET_KEY e LANGFLOW_SUPERUSER_PASSWORD verso l'indirizzo 146.70.211[.]112 sulla porta 18764, oltre a istruzioni Docker per l'accesso al filesystem host e la lettura di /etc/passwd. L'indirizzo 192.255.229[.]92 risulta associato a brute-force generico e all'exploit di altre vulnerabilità Langflow: CVE-2026-55255 (CVSS 8.4), CVE-2026-9198 (CVSS 9.8), CVE-2026-0768 (CVSS 9.8) e di Flowise CVE-2026-69255.

Secondo Strix.ai, la probabilità di exploit nei prossimi 30 giorni stimata dal modello EPSS è dello 0,59%. La fonte non specifica il metodo di calcolo del dato, che non è verificabile indipendentemente senza accesso al modello EPSS.

Perche l'architettura MCP amplifica il rischio

Il Model Context Protocol è emerso come standard de facto per connettere modelli AI a strumenti esterni — database, browser, calcolatori, ambienti di esecuzione. La sua promessa è l'interoperabilità: un'interfaccia unica al posto di integrazioni ad hoc per ogni strumento. La controparte è l'introduzione di una nuova superficie di configurazione che sfugge ai paradigmi di sicurezza consolidati.

In Langflow, i custom component sono entità di primo piano: il codice è visibile, versionato, revisionabile. Le configurazioni MCP server risiedono invece nelle impostazioni di progetto, estranee al flusso di lavoro visuale. Questa opacità architetturale — documentata dalla fonte come differenza strutturale, non come bug implementativo — significa che una modifica malevola può persistere senza attraversare i checkpoint di visibilità tradizionali.

Il contesto corporate aggiunge tensione. DataStax, parent company di Langflow, è stata acquisita da IBM nel febbraio 2025 in un'operazione che ha accelerato l'integrazione della piattaforma negli stack enterprise IBM. La velocità di adozione delle architetture agentiche — Langflow, Flowise e analoghi — continua a precedere la maturità dei controlli di sicurezza su queste superfici di configurazione.

Perche è importante

La fonte non specifica se i 1.423 tentativi rappresentino l'intero universo di attività offensiva o se esistano dataset alternativi. Non è noto se istanze reali, al di fuori dell'honeypot Previdian, siano state compromesse in modo significativo. Il dossier non chiarisce inoltre quale entità abbia pubblicato l'advisory originale: Langflow, una CNA o un ricercatore indipendente.

Il brief non documenta misure correttive specifiche oltre all'aggiornamento alla versione 1.9.0. Non elenca controlli di monitoraggio predefiniti, regole di rilevamento per le chiamate all'endpoint MCP, o configurazioni di hardening consigliate dal vendor. La fonte non specifica se l'autenticazione a più fattori mitighi la vulnerabilità, dato che l'exploit richiede un bearer token valido ma non ne vincola il metodo di ottenimento.

La natura autenticata della RCE distingue CVE-2026-105740 da vulnerabilità di tipo zero-click, ma non la rende meno pericolosa: la combinazione di credential stuffing, persistenza della configurazione e opacità del vettore MCP crea una catena di compromissione realizzabile con risorse limitate.

Lettura: la superficie nascosta dello stack AI

La storia di CVE-2026-105740 non è quella di un bug isolato in un campo di input. È l'indicatore di un problema di categoria: le piattaforme di orchestrazione AI stanno ereditando pattern architetturali — configurazioni opache, persistenza implicita, eseczione automatica al fetch — che nelle infrastrutture tradizionali sono già classificati come anti-pattern di sicurezza. La novità è che questi pattern emergono in un ecosistema ancora in fase di definizione, dove gli standard di sicurezza non sono consolidati e le superfici di attacco non sono ancora mappate dai framework di valutazione del rischio.

Il confronto tra visibilità dei custom component e opacità delle configurazioni MCP non è un dettaglio di implementazione Langflow: è una tensione strutturale dell'architettura agentica, dove la flessibilità di configurazione è valorizzata come feature e la tracciabilità è delegata a convenzioni non ancora standardizzate. I 1.423 tentativi di exploit dimostrano che gli operatori offensivi hanno già identificato questa asimmetria.

Per le organizzazioni che adottano piattaforme di questo tipo, la lezione va oltre la singola patch: la revisione dei flussi di sicurezza deve estendersi ai layer di configurazione che non appaiono nell'interfaccia principale, ma che determinano il comportamento esecutivo del sistema.

FAQ

Quali versioni di Langflow sono vulnerabili?

Secondo The Hacker News e Strix.ai, tutte le versioni prior to 1.9.0. La versione 1.9.0 contiene la correzione.

L'exploit richiede privilegi amministrativi?

No. La fonte documenta esplicitamente che qualsiasi utente autenticato, inclusi account non amministrativi, può attivare la RCE.

I 1.423 tentativi sono avvenuti su sistemi reali?

No. I dati provengono esclusivamente dall'honeypot di Previdian. La fonte non documenta compromissioni verificate su istanze di produzione.

Fonti

• https://thehackernews.com/2026/10/langflows-critical-authenticated-rce.html
• https://blog.netmanageit.com/langflows-critical-authenticated-rce-flaw-targeted-in-1-423-honeypot-exploit-attempts/
• https://www.thehackerwire.com/cve-2026-105740-langflow-critical-rce-authenticated-command-injection-via-stdio-transport/
• https://www.guardianmssp.com/2026/10/15/langflows-critical-authenticated-rce-flaw-targeted-in-1423-honeypot-exploit-attempts/
• https://www.strix.ai/cve/CVE-2026-105740
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti