Langflow CVE-2026-105740: command injection nei server MCP stdio, centinaia di tentativi di sfruttamento al giorno

ACN ha aggiornato il 16 ottobre 2026 il proprio alert del 6 ottobre su quattro vulnerabilità di Langflow, la piattaforma open source per costruire agenti e applicazioni di intelligenza artificiale, per segnalare lo sfruttamento attivo della CVE-2026-105740, una OS command injection con CVSS 9.9 nel trasporto stdio dei server MCP. Secondo l'advisory pubblicato da Langflow il 10 settembre su segnalazione dell'utente GitHub AbdrrahimDahmani, qualsiasi utente autenticato, anche senza ruolo amministrativo, può registrare tramite l'API un nuovo server MCP di tipo stdio: il contenuto del campo command arriva a un wrapper di shell senza validazione, allowlist né sandbox, e il campo delle variabili d'ambiente permette anche di forzare il caricamento di librerie arbitrarie o di alterare il percorso degli eseguibili. Il comando parte quando l'interfaccia carica l'elenco dei server MCP, cioè all'apertura della pagina delle impostazioni MCP, e gira con i privilegi del processo Langflow. La configurazione resta salvata e si riesegue a ogni caricamento, anche quando la pagina la apre un amministratore; e poiché sta nelle impostazioni di progetto, fuori dalla normale revisione dei flow, diventa anche una backdoor discreta.

I tentativi di sfruttamento li ha osservati Previdian, società di threat intelligence basata su honeypot, che ha registrato i primi il 19 settembre, nove giorni dopo la pubblicazione dell'advisory con la prova di concetto e prima che la CVE fosse pubblicata, il 5 ottobre. Dall'11 ottobre, con 333 tentativi in un giorno, il ritmo è passato a centinaia al giorno e alla pubblicazione di questa notizia Previdian ne conta oltre 2.500 da 30 indirizzi IP in 17 paesi, tutti rilevati da un unico sensore: i numeri si riferiscono a un sistema trappola e non dicono quante istanze reali siano state violate. Una sequenza descritta a The Hacker News da Ryan Dewhurst, fondatore e CEO di Previdian, mostra quanto poco pesi l'autenticazione richiesta: l'attaccante ha controllato la versione, ha provato l'endpoint di auto-login, che nell'honeypot era disattivato, poi è entrato con username e password comuni e ha usato subito il token ottenuto sull'endpoint dei server MCP. Dove l'auto-login è attivo, come accade per impostazione predefinita nell'applicazione installata via pip ma non nelle immagini Docker ufficiali, il token lo rilascia il server a chiunque, come scrive lo stesso vendor nell'advisory della falla gemella CVE-2026-105697, che condivide lo stesso vettore. I payload catturati raccolgono variabili d'ambiente e configurazione di Langflow, fra cui la LANGFLOW_SECRET_KEY e la password del superuser, e usano comandi Docker per arrivare al file system dell'host e leggere il file degli account di sistema.

La correzione esiste da aprile: la versione 1.9.0 del 14 aprile ha introdotto un'allowlist sui comandi accettati dall'API. Per il vendor però non basta, perché lo stesso punto di esecuzione restava raggiungibile dal componente MCP Tools dentro i flow, e lo ha chiuso solo la 1.10.3 del 23 luglio, che elimina anche il wrapper di shell. Langflow è ormai un bersaglio fisso: gran parte dei tentativi parte da un indirizzo IP che, secondo i dati riportati da The Hacker News, ha già sfruttato la CVE-2026-55255, trattata in un nostro precedente alert dell'8 luglio, e la CVE-2026-9198, trattata in un nostro precedente alert del 22 luglio, quando ne esisteva solo una prova di concetto pubblica. Il catalogo KEV della CISA, dove la CVE-2026-105740 per ora non compare, conta già sei vulnerabilità di Langflow, cinque delle quali aggiunte nel 2026, compresa la CVE-2026-9198 inserita il 4 agosto. A doversene preoccupare è chi gestisce un'istanza Langflow precedente alla 1.10.3 raggiungibile dalla rete: prima di tutto chi l'ha installata via pip lasciando attivo l'auto-login, e ha quindi un superuser aperto a chiunque, poi chi l'ha spento, comprese le installazioni da immagine Docker ufficiale, ma tiene account con password deboli o li concede a utenti non pienamente fidati. Il rischio più alto lo corrono i prototipi di agenti AI messi in rete in fretta, in enti come in aziende, e rimasti con la configurazione di partenza.

• Versioni affette: per la CVE-2026-105740, Langflow precedenti alla 1.9.0 (il vettore sfruttato esiste dalla 1.5.0); per le quattro vulnerabilità dell'alert ACN, compresa la gemella CVE-2026-105697 sullo stesso meccanismo, langflow dalla 1.1.2 alla 1.10.2, langflow-base dalla 0.1.2 alla 0.10.2 e lfx precedenti alla 1.10.3.
• Azione raccomandata: aggiornare almeno alla 1.10.3 (langflow-base 0.10.3, lfx 1.10.3), meglio all'ultima release disponibile, la 1.12.6 del 13 ottobre: la 1.9.0 chiude la CVE-2026-105740 ma lascia aperta la CVE-2026-105697; disattivare l'auto-login (LANGFLOW_AUTO_LOGIN a false), che il vendor documenta come impostazione da usare solo in sviluppo, e dare al superuser una password robusta; non esporre Langflow direttamente su internet e concedere account solo a utenti fidati; controllare nelle impostazioni di ogni progetto i server MCP configurati, cercando server stdio sconosciuti, e nei log le richieste all'endpoint dei server MCP e all'endpoint di auto-login; in caso di riscontro, ruotare la LANGFLOW_SECRET_KEY, la password del superuser e le chiavi API dei provider salvate nell'istanza; negli ambienti multiutente attivare le opzioni di hardening dei server MCP previste dal vendor dalla 1.10.3 e, dalla 1.11.1, riservare ai soli superuser i componenti custom, restrizione che vale anche per i server MCP stdio.

Fonti: ACN, Langflow, Langflow CVE-2026-105697, Previdian, The Hacker News, CISA