Invasores estão explorando uma vulnerabilidade não autenticada de execução remota de comandos no framework de código aberto Langflow, usado para criar aplicações de inteligência artificial, com o objetivo de roubar credenciais, tokens e chaves de acesso, incluindo chaves da OpenAI e da AWS. A vulnerabilidade recebeu o identificador CVE-2026-0768 e uma classificação crítica, e está localizada na ferramenta de validação de código do editor de componentes personalizados.
A empresa de inteligência contra ameaças VulnCheck detectou a atividade por meio de suas armadilhas no Reino Unido, onde registrou pelo menos 50 tentativas de exploração durante o fim de semana. Caitlin Condon, pesquisadora-chefe de segurança da empresa, afirmou que a atividade aumentou posteriormente, elevando o total de ataques observados para 360 tentativas, com o tráfego de ataque originando-se principalmente da Rússia.
Como a vulnerabilidade é explorada?
O problema permite que o invasor execute código arbitrário sem autenticação e com privilégios de root. A falha está relacionada à forma como o parâmetro code enviado ao endpoint validate é processado; o texto fornecido pelo usuário não é verificado adequadamente antes de ser usado para executar código Python.
Segundo Condon, os invasores começam com operações de reconhecimento e depois consultam as variáveis de ambiente em busca de credenciais administrativas ou chaves de autenticação de superusuário do Langflow, além de segredos da AWS e chaves da API da OpenAI. As solicitações observadas incluíram variáveis como LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS* e AWS_SECRET*, além do arquivo /root/.cache/langflow/secret_key e verificações da possibilidade de acesso ao SSH e do tamanho do arquivo .bash_history.
Por que esta notícia é importante?
O impacto do comprometimento não se limita ao próprio servidor do Langflow. A plataforma, baseada em Python e operada com uma abordagem de baixo código, é usada para criar aplicações, agentes, chats e sistemas de geração aumentada por recuperação, conectando modelos de linguagem, bancos de dados, APIs e outros componentes. Portanto, o acesso às variáveis de ambiente ou aos arquivos de segredos pode transformar o servidor em um ponto de partida para acessar serviços de inteligência artificial ou de nuvem associados a ele.
Os fatos disponíveis indicam que o problema faz parte de um padrão mais amplo, pois outras vulnerabilidades no Langflow já haviam sido exploradas no mesmo ano. A CVE-2026-33017 foi explorada cerca de um dia após sua divulgação para executar scripts Python e roubar arquivos ENV e bancos de dados, enquanto a CVE-2026-5027 foi usada para gravar arquivos arbitrários, e a CVE-2026-55255 foi explorada para acessar fluxos de trabalho de outros usuários, roubar dados sensíveis e distribuir malware posteriormente. A CVE-2026-0770 também registrou tentativas de executar comandos com privilégios de root e extrair credenciais de nuvem e dados de contêineres, e a CISA posteriormente alertou sobre a exploração da CVE-2026-9198 após a publicação de vários modelos de prova de conceito.
O que os usuários devem fazer?
A fonte recomenda que os usuários do Langflow atualizem para a versão 1.11.6, que corrige todas as falhas conhecidas mencionadas no material. Segundo Condon, não havia modelos públicos de exploração conhecidos para a CVE-2026-0768 até a elaboração do relatório, mas a detecção de exploração real significa que a ausência de um modelo publicado não elimina a necessidade de tratar os sistemas afetados como vulneráveis.
Leitura editorial da certi.news: o risco prático aqui resulta da combinação de três fatores claros na fonte: execução de código sem autenticação, privilégios de root e a presença de segredos operacionais no ambiente-alvo. A fonte não comprova se os ataques observados resultaram em comprometimentos confirmados de ambientes de produção específicos; portanto, esse ponto ainda requer verificação independente. Os operadores também devem revisar os registros e os segredos expostos ao lidar com versões afetadas.