Langflow CVE-2026-0768: a 12ª falha do Langflow explorada ativamente este ano

CVE-2026-0768 é uma falha de execução remota de código não autenticada no Langflow, o framework visual de código aberto para montar pipelines e agentes de grandes modelos de linguagem, e os atacantes já a estavam usando em ambiente real no final de agosto de 2026. A falha está no validador de código por trás do editor de componentes personalizados do Langflow: o endpoint validate aceita um parâmetro code e executa o Python que ele contém, sem autenticação e, nos termos da Zero Day Initiative, "no contexto de root". A rede de honeypots Canary da VulnCheck registrou mais de 50 tentativas de exploração nas horas seguintes às primeiras detecções, em 30 de agosto de 2026, e mais de 360 até segunda-feira, 1º de setembro, todas contra sensores no Reino Unido; Caitlin Condon, da VulnCheck, disse que o tráfego de origem partiu principalmente da Rússia. As solicitações não eram ransomware. Elas leram variáveis de ambiente que continham credenciais de superusuário do Langflow, chaves de API da OpenAI e chaves de acesso e chaves secretas da AWS, e depois foram procurar em /root/.cache/langflow/secret_key, .ssh e .bash_history. A entrada completa do arquivo para este incidente, incluindo suas classificações de severidade, confiança e dano, está em the Orca AI Incident Archive, ao lado dos outros registros de roubo de credenciais e de infraestrutura de IA que o cercam.

A Security Affairs publicou seu relato em 2 de setembro de 2026; Ionut Arghire, da SecurityWeek, noticiou a exploração no dia anterior, Bill Toulas, do BleepingComputer, cobriu o caso naquela semana, e a AI Safety Initiative da Cloud Security Alliance divulgou, em 4 de setembro, uma nota de pesquisa que reitera o mecanismo e acrescenta recomendações. Nenhum dos relatos analisados para este artigo nomeou uma organização comprometida. Tudo remonta aos próprios sensores da VulnCheck e ao alerta que a Zero Day Initiative publicou em janeiro.

Um editor que executa aquilo que lhe é pedido para validar

O principal atrativo do Langflow é que você monta uma aplicação de IA arrastando componentes para um canvas. Componentes personalizados são em Python: o editor permite que um usuário cole código e clique em validar, e o servidor faz a verificação. De acordo com o aviso ZDI ZDI-26-034, essa verificação executa o código. A frase de causa raiz do aviso tem uma linha — "a falta de validação adequada de uma string fornecida pelo usuário antes de usá-la para executar código Python" — e o resultado é que uma única requisição HTTP não autenticada executa Python arbitrário no host.

Três propriedades transformam isso em um incidente, e não em um relatório de bug. O vetor CVSS é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação 9,8: alcançável pela rede, baixa complexidade, sem privilégios, sem interação do usuário e perda total de confidencialidade, integridade e disponibilidade. O contexto de execução é root, e é por isso que os comandos do atacante que Condon e a Cloud Security Alliance descrevem apontam para /root/.cache/langflow/secret_key — o arquivo que o Langflow usa para criptografar credenciais armazenadas e dados de sessão. E o endpoint não exige credencial alguma, então a exposição depende exclusivamente de ser alcançável.

O histórico de divulgação é importante para como isso se desenrolou. A linha do tempo da ZDI registra que o relatório chegou à conta do Langflow no GitHub em 18 de julho de 2025, uma solicitação de atualizações em 11 de setembro de 2025, uma solicitação da correção em 10 de outubro de 2025 e um aviso de intenção de publicar como zero-day em 10 de dezembro de 2025. A ZDI divulgou o aviso em 9 de janeiro de 2026. Os pesquisadores creditados são Peter Girnus, William Gamazo Sanchez e Alfredo Oliveira, da Trend Research. O banco de dados de avisos do GitHub contém o mesmo texto que GHSA-x5pr-rvjj-j6qm, publicado em 23 de janeiro de 2026, classificado como CWE-94 e não lista nenhum intervalo de versões afetadas. A mitigação declarada pela ZDI não é um patch: é "restringir a interação com o produto".

Relatórios públicos situam o intervalo afetado em {{1}}versões do Langflow até e incluindo a 1.4.2{{/1}}, a versão para a qual o módulo Metasploit adicionado posteriormente foi criado e testado. É aí que a certeza termina, e a seção sobre correções abaixo explica por quê.

O que as detecções 360 estabelecem e não estabelecem

As Canaries da VulnCheck são sensores expostos à internet, criados para se parecerem com aquilo que um atacante está procurando. A empresa observou a primeira exploração da CVE-2026-0768 em 29–30 de agosto de 2026: mais de 50 detecções em algumas horas no domingo, ultrapassando 360 até segunda-feira. Condon, vice-presidente de pesquisa de ameaças da VulnCheck, descreveu a atividade no LinkedIn como "uma mistura de reconhecimento e coleta de credenciais", acrescentando que o tráfego de origem vinha principalmente da Rússia e que, "até agora, atingiu exclusivamente Canaries no Reino Unido".

A sequência de comandos capturada pelos sensores é específica o suficiente para constituir um manual de operação. Os atacantes consultaram o ambiente em busca de LANGFLOW_SUPERUSER, de variáveis que correspondessem a OPENAI_API e de chaves AWS_ACCESS e AWS_SECRET — as três famílias de credenciais que um host Langflow tem maior probabilidade de conter. Leram a chave secreta em cache em /root/.cache/langflow/secret_key. Verificaram o acesso a .ssh e inspecionaram o tamanho de .bash_history, ambos indicativos de se um operador pode se mover lateralmente em vez de apenas ler segredos. Um relato da comunidade sobre a cadeia, citado pela Cloud Security Alliance, acrescenta que a mesma atividade procurou segredos incorporados em árvores de código-fonte e arquivos .env, exfiltrou o que encontrou e verificou se um host já tinha uma backdoor implantada por um operador anterior antes de adicionar sua própria persistência.

O que isso estabelece é que o exploit funciona, que foi usado contra instâncias do Langflow expostas à internet e que o objetivo eram credenciais, não a interrupção. O que isso não estabelece é uma vítima. Canários são iscas; uma detecção é uma requisição, não um roubo confirmado. O arquivo classifica este registro como dano real, e o dano documentado nas fontes públicas é a execução confirmada de código de coleta de credenciais contra sistemas expostos — não uma organização nomeada cujas chaves foram usadas.

Um detalhe contraria a narrativa habitual sobre a divulgação. De acordo com a VulnCheck, não existia nenhuma prova de conceito pública para a CVE-2026-0768 quando a exploração começou. O aviso de segurança estava público havia quase oito meses e descrevia a falha com precisão suficiente para que alguém criasse um exploit a partir do texto. A interpretação da empresa, conforme noticiado pelo The Hacker News, é de que se tratou de uma derivação independente, e não de reutilização de código vazado.

Doze falhas, quinze mil tentativas — e onde esses números se curvam

A estatística que dá peso a este incidente vem da VulnCheck, e vale citá-la nas próprias palavras da empresa, em vez de parafraseá-la. “Antes de 2026, as evidências mostravam apenas uma vulnerabilidade do Langflow conhecida por ser explorada na natureza”, afirmou. “Em 2026, as coisas mudaram rapidamente.” A SecurityWeek relata que a VulnCheck acompanha “11 vulnerabilidades adicionais visadas e relatadas como exploradas na natureza” durante 2026.

Some isso e você chega a doze vulnerabilidades exploradas do Langflow, uma das quais antecede o ano. Isso não é o mesmo que doze em 2026, e as fontes oscilam entre os dois enquadramentos. A manchete do Forkast chama a CVE-2026-0768 de "12ª CVE explorada do Langflow em 2026", enquanto o corpo do mesmo artigo descreve a dúzia como "11 novas vulnerabilidades e uma identificada antes do início do ano". O título do registro segue a manchete. Em leitura estrita, 2026 responde por onze das doze, com a décima segunda — a conhecida antes deste ano — compondo o restante.

O número de 15.000 tem uma ressalva comparável. SecurityWeek, The Hacker News e Forkast atribuem todos "mais de 15.000 ataques bem-sucedidos" a três vulnerabilidades nomeadas: CVE-2026-0769, CVE-2025-3248 e CVE-2026-5027. É um número grande, mas é uma contagem em três CVEs, não em todo o portfólio de 2026 da Langflow. Formulá-lo como tentativas de exploração contra o portfólio — como faz o resumo do arquivo — é mais amplo do que o que a VulnCheck publicou.

As entradas individuais por trás do padrão estão documentadas. A CVE-2025-3248 era uma falha de injeção de código no mesmo endpoint /api/v1/validate/code, corrigida no Langflow 1.3.0 substituindo a execução por validação apenas de compilação, segundo o aviso do GitHub GHSA-rvqx-wpfh-mfx7 citado pela Cloud Security Alliance — o que significa que a CVE-2026-0768 é a mesma classe de bug no mesmo caminho de código, cerca de quatro meses depois de essa correção ter sido lançada. A CVE-2026-33017, uma RCE não autenticada no endpoint público de build de fluxos, foi transformada em arma em cerca de 20 horas após sua divulgação em março de 2026 e usada para obter credenciais da OpenAI, da Anthropic e da AWS antes de pivotar para mineração de criptomoedas Monero, segundo o relato da Cloud Security Alliance. A nota da mesma aliança, de 12 de junho de 2026, aborda a CVE-2026-5027, uma falha de path traversal no endpoint de upload de arquivos que pesquisadores associaram ao grupo MuddyWater, patrocinado pelo Estado iraniano, e sua nota de 4 de setembro registra a CVE-2026-55255, um bypass de autorização que permite a um usuário autenticado executar os fluxos de outro usuário, entrando no catálogo Known Exploited Vulnerabilities da CISA em 7 de julho de 2026. Essas quatro compartilham um formato: um endpoint que ou ignorava a autenticação ou ignorava a sanitização, em uma plataforma cuja função é armazenar credenciais para tudo com que se comunica.

Por que uma plataforma de orquestração vale a pena

Uma instância de produção do Langflow é configurada com chaves de API de provedores, credenciais de nuvem, strings de conexão de banco de dados e segredos de integração, porque os fluxos que ela executa precisam deles no momento da chamada. O comprometimento do host, portanto, concede acesso funcional a todos os serviços cujas credenciais a instância armazena. Chaves roubadas da OpenAI ou da Anthropic permitem que um atacante cobrem a inferência à vítima ou personifiquem a organização em etapas posteriores; chaves da AWS roubadas abrem infraestrutura muito além do contêiner do Langflow. Esse poder de alavancagem, e não qualquer capacidade específica de IA, era o que os comandos observados buscavam.

A avaliação da Cloud Security Alliance é que a recorrência em quatro subsistemas diferentes do Langflow em um único ano — validador de código, endpoint público de construção de fluxos, upload de arquivos, execução de fluxos de trabalho — aponta para uma lacuna sistêmica na engenharia de segurança, e não para uma série de defeitos não relacionados. Essa é a avaliação da aliança, apresentada em uma nota de pesquisa, e não uma constatação de um auditor independente, e o Langflow não respondeu publicamente a ela no material revisado aqui.

O que foi corrigido e o que ainda está ambíguo

Esta é a parte mais fraca do registro público, e vale a pena ser preciso sobre o porquê. O comunicado do ZDI não nomeia nenhuma versão corrigida. A entrada do banco de dados da Snyk para a CVE lista como versões afetadas todas as anteriores à 1.10.1 e recomenda atualizar para a 1.10.1 ou superior. Reportagens públicas, incluindo SecurityWeek e Security Affairs, descrevem o intervalo afetado como versões até a 1.4.2, mas não identificam nenhuma versão corrigida. A Cloud Security Alliance observou em 4 de setembro que os mantenedores do Langflow não haviam publicado um comunicado de segurança dedicado nomeando esta CVE, e que os rastreadores divergiam sobre qual versão realmente corrigiu o problema — uma ambiguidade que, segundo a aliança, ecoa um caso anterior do Langflow em que uma versão relatada como corrigida permanecia explorável.

O Langflow de fato enviou correções na área certa, no dia certo. A versão 1.11.6 foi publicada em 1 de setembro de 2026, a segunda-feira em que a contagem de honeypots passou de 360, e suas notas de versão descrevem um backport de correções de segurança, incluindo "fechar lacunas na verificação de código de componentes" e "resolver anotações sem execução" (pull request 14876). A versão 1.12.0 veio naquela mesma noite. O endurecimento adicional do mesmo caminho de código continuou depois: um pull request posterior intitulado "impedir que validate_code execute importações" indica que o endpoint de validação ainda estava sendo reforçado semanas após a primeira exploração. Nada disso constitui uma declaração do fornecedor de que CVE-2026-0768 está corrigida em uma versão nomeada, e nada foi encontrado nas fontes citadas do registro.

O que mudou do lado do atacante é mais claro. Um módulo de exploit do Metasploit para a falha foi aberto como pull request em 2 de setembro de 2026 — no mesmo dia em que a Security Affairs publicou — e mesclado em 8 de outubro de 2026, testado contra o Langflow 1.4.2. Qualquer que seja o estado da derivação original, explorar essa falha deixou de exigir trabalho original seis semanas depois de ela começar a ser explorada.

A resposta recomendada pela Cloud Security Alliance é uma sequência de aplicação de patch e rotação, e não apenas um patch: verifique a versão em execução e migre para a versão estável atual; trate qualquer instância exposta à internet em uma versão afetada como comprometida até prova em contrário, porque a atividade observada é coleta silenciosa, e não interrupção visível; e rotacione todos os segredos que a instância poderia alcançar — a senha de superusuário do Langflow, as chaves de API dos provedores, as chaves de acesso e secreta da AWS e a própria chave secreta do Langflow, recriptografando as credenciais armazenadas em vez de apenas substituir o arquivo. Também recomenda auditar os logs de acesso em busca de requisições ao endpoint validate, verificar authorized_keys em busca de chaves SSH desconhecidas e procurar evidências de que um operador anterior já tenha colocado um backdoor no host. Quando a plataforma precisar permanecer acessível, sugere restringir ou desabilitar o endpoint validate e abandonar o uso de chaves de longa duração com altos privilégios armazenadas diretamente na plataforma.

Estabelecido, reportado e não estabelecido

Estabelecido: que a CVE-2026-0768 é uma RCE não autenticada no endpoint validate do Langflow que executa Python como root, documentada no ZDI-26-034 e espelhada como GHSA-x5pr-rvjj-j6qm; que a exploração começou em 29–30 de agosto de 2026; que a VulnCheck registrou mais de 50 detecções em horas e mais de 360 até 1º de setembro, contra sensores do Reino Unido, com tráfego principalmente da Rússia; e que as solicitações observadas tinham como alvo credenciais de superusuário do Langflow, da OpenAI e da AWS, além da chave secreta em cache, .ssh e .bash_history. Essas informações vêm do próprio advisory e da telemetria da VulnCheck, conforme relatado de forma independente pela SecurityWeek, Security Affairs e The Hacker News.

Divulgado, não verificado de forma independente: todas as contagens de detecção. Os 50, os 360 e os 15.000 são números da própria VulnCheck, publicados pela empresa e repetidos por veículos que a citam; nenhuma segunda rede de honeypots publicou uma contagem corroborante. A atribuição à infraestrutura russa é igualmente a leitura da VulnCheck do tráfego de origem, não uma avaliação endossada por qualquer governo ou CERT no material analisado.

Não está estabelecido: que qualquer organização nomeada tenha perdido credenciais. Nenhuma vítima foi identificada nas fontes do registro. Também não há uma versão corrigida confirmada: a ZDI não nomeia nenhuma, a Snyk afirma 1.10.1, relatos dizem que afetadas até a 1.4.2, e as notas de versão 1.11.6 descrevem correções de segurança sem vinculá-las a este CVE. Nem a contagem da "décima segunda falha de 2026" é internamente consistente entre suas próprias fontes, como exposto acima.

A parte que deveria preocupar quem aplica patches seguindo um cronograma

O intervalo de oito meses é o achado. A CVE-2026-0768 foi publicada como zero-day em 9 de janeiro de 2026, com uma descrição técnica detalhada o suficiente para permitir reconstruir a falha a partir dela, e nada aconteceu contra os sensores da VulnCheck até o último fim de semana de agosto. Então, várias centenas de tentativas chegaram em três dias, vindas de operadores que, segundo a empresa, não tinham nenhum exploit público para copiar. O que quer que tenha mantido essas instâncias sem correção ao longo de oito meses de um aviso crítico público é a mesma coisa que tornou a falha digna de exploração quando alguém finalmente escreveu o código.

Isso também fecha um ciclo que os CVEs anteriores do Langflow abriram. O CVE-2025-3248 foi corrigido removendo a execução do mesmo caminho de validação; o CVE-2026-0768 executa nesse caminho mesmo assim. Uma correção que remove um comportamento sem remover a decisão de design que o produziu compra tempo e, neste caso, comprou cerca de quatro meses.