Una vulnerabilidad RCE en Langflow permite a usuarios autenticados ejecutar comandos de shell

Actores de amenazas están explotando activamente una vulnerabilidad crítica de ejecución remota de código (RCE) en Langflow, una plataforma de código abierto para construir aplicaciones de IA. La firma de seguridad Previdian informó que los atacantes han lanzado más de 1.400 intentos de explotación contra sensores honeypot desde mediados de septiembre de 2026. El fallo, identificado como CVE-2026-105740, afecta a versiones de Langflow anteriores a la 1.9.0 y permite a cualquier usuario autenticado ejecutar comandos arbitrarios del sistema operativo en el servidor host.

Qué ocurrió

La vulnerabilidad surge de cómo Langflow maneja las configuraciones del servidor del Model Context Protocol (MCP). Cuando un usuario añade un servidor MCP utilizando el transporte 'stdio', la aplicación acepta un campo de comando sin validación, lista blanca ni sandboxing. Este comando se pasa directamente al shell mediante bash -c "exec {command}". En consecuencia, cualquier usuario con credenciales válidas, incluidas cuentas que no son de administrador, puede inyectar cargas maliciosas. El comando se ejecuta inmediatamente cuando se obtiene la lista de servidores, otorgando al atacante los mismos privilegios que el proceso de Langflow.

Los datos de Previdian revelan un aumento en la actividad, con 333 intentos registrados solo el 11 de octubre de 2026. En total, se detectaron 1.423 intentos de explotación provenientes de 27 direcciones IP únicas en países como China, Rusia, EE. UU. y Vietnam. Los atacantes suelen autenticarse utilizando credenciales débiles o comunes después de verificar la versión de Langflow. Una vez dentro, envían solicitudes HTTP POST manipuladas al endpoint del servidor MCP para almacenar su carga útil, luego desencadenan la ejecución obteniendo la lista de servidores.

Las consecuencias de una explotación exitosa son graves. Los atacantes pueden lograr la compromisión completa del servidor, inyectar variables de entorno como LD_PRELOAD y desplegar puertas traseras persistentes. Dado que las configuraciones del servidor MCP se almacenan en los ajustes del proyecto y no en componentes visibles del flujo, estas configuraciones maliciosas pueden permanecer ocultas durante las revisiones normales de código. Las cargas útiles capturadas muestran a los atacantes intentando extraer secretos sensibles como LANGFLOW_SECRET_KEY y leyendo archivos del sistema de archivos del host como /etc/passwd.

Cómo funciona

El mecanismo central depende de la falta de saneamiento de entrada para el transporte stdio de MCP. En una cadena de ataque típica, el adversario primero inicia sesión como usuario estándar. Luego envía una solicitud POST a /api/v2/mcp/servers/{server_name} que contiene un comando malicioso en el cuerpo. Langflow almacena esta configuración sin comprobar si el comando es seguro. Para desencadenar la explotación, el atacante envía una solicitud GET a /api/v2/mcp/servers?action_count=true. Esta acción fuerza a la aplicación a cargar la lista de servidores, lo que inadvertidamente ejecuta el comando almacenado en segundo plano.

Este método es particularmente peligroso porque evade los procesos tradicionales de revisión de código. A diferencia de los componentes personalizados de Python que aparecen en el editor visual, las configuraciones de MCP son ajustes de backend. Además, la vulnerabilidad permite la inyección de variables de entorno, lo que habilita a los atacantes a manipular el entorno de ejecución del proceso de Langflow. Esto puede facilitar el movimiento lateral dentro de la red o establecer acceso persistente, ya que la configuración maliciosa se re-ejecuta cada vez que se accede a la lista de servidores.

Detalles clave

• ID de Vulnerabilidad: CVE-2026-105740 con una puntuación CVSS de 9.9.
• Versiones Afectadas: Todas las versiones de Langflow anteriores a la 1.9.0.
• Vector de Ataque: Ejecución remota de código autenticada mediante la configuración del servidor MCP.
• Volumen de Explotación: 1.423 intentos registrados por Previdian desde el 19 de septiembre de 2026.
• Objetivo Principal: Se utilizan credenciales débiles para obtener acceso inicial antes de explotar el fallo.
• Persistencia: Las configuraciones MCP maliciosas permanecen en los ajustes del proyecto y se re-ejecutan al obtener la lista.

Por qué importa

Para los equipos de ingeniería que construyen flujos de trabajo de IA, este incidente destaca los riesgos de integrar manejadores de protocolos complejos como MCP sin estrictos límites de seguridad. El hecho de que un usuario que no es administrador pueda comprometer todo el host subraya la importancia de los controles de acceso de mínimo privilegio. Muchas organizaciones pueden asumir que los usuarios internos o colaboradores son de confianza, pero esta vulnerabilidad convierte cualquier cuenta comprometida en una puerta de entrada para la toma de control completa del servidor. También demuestra cómo las interfaces de configuración pueden convertirse en superficies de ataque si no se aíslan adecuadamente.

Además, la rápida escalada en los intentos de explotación sugiere que los escáneres automatizados ahora apuntan específicamente a este fallo. La implicación de direcciones IP vinculadas a otras vulnerabilidades recientes en herramientas como Flowise indica una campaña sistemática contra la infraestructura de desarrollo de IA. Los equipos que ejecutan instancias expuestas de Langflow deben tratar esto como una amenaza activa, no solo como un riesgo teórico. La capacidad de extraer claves secretas y variables de entorno significa que una sola brecha puede llevar a una compromisión más amplia de la infraestructura.

Qué puedes hacer

• Actualiza Langflow a la versión 1.9.0 o posterior inmediatamente para parchear la CVE-2026-105740.
• Desactiva el inicio de sesión automático estableciendo LANGFLOW_AUTO_LOGIN=false en tus variables de entorno.
• Aplica contraseñas fuertes y únicas para todas las cuentas de usuario de Langflow para prevenir accesos no autorizados.
• Revisa los registros de autenticación y monitoriza las solicitudes a /api/v2/mcp/servers/ para detectar actividad sospechosa.
• Evita exponer instancias de Langflow directamente a redes no confiables o a Internet público.
• Restringe la creación de cuentas de Langflow solo a personal de confianza y audita los permisos de usuario existentes.