Atacantes explotan fallo crítico en Langflow para robar claves de OpenAI y AWS

Los atacantes están aprovechando una vulnerabilidad crítica de ejecución remota de código (CVE-2026-0768) en Langflow, un framework de código abierto para construir aplicaciones de IA, para robar credenciales, tokens y claves. El fallo, con severidad crítica, reside en el validador de código del editor de componentes personalizados de Langflow. La empresa de inteligencia de amenazas VulnCheck detectó la actividad en sus honeypots en el Reino Unido, con al menos 50 intentos de explotación durante el fin de semana, con tráfico principalmente desde Rusia. La investigadora principal de seguridad de VulnCheck, Caitlin Condon, dijo que la actividad se intensificó y que el total de ataques observados aumentó a 360 hasta hoy. Según Condon, el atacante realiza reconocimiento y consulta variables de entorno para extraer credenciales administrativas o claves de autenticación de superusuario para instancias de Langflow, secretos de AWS y claves de API de OpenAI. "Entre otras cosas, las peticiones del atacante consultan variables de entorno (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), leen /root/.cache/langflow/secret_key, y comprueban el acceso .ssh y el tamaño de .bash_history", explicó Condon. Langflow es una plataforma low-code de código abierto basada en Python para construir aplicaciones de IA, agentes, chatbots y sistemas de generación aumentada por recuperación (RAG). Permite a los usuarios crear flujos de trabajo en una interfaz gráfica conectando componentes para modelos de lenguaje, prompts, bases de datos, APIs y otras herramientas. La vulnerabilidad CVE-2026-0768 fue divulgada en enero y afecta a Langflow versiones 1.4.2 y anteriores. Permite ejecutar código arbitrario sin autenticación con privilegios de root. "El fallo específico existe dentro del manejo del parámetro code proporcionado al endpoint validate. El problema resulta de la falta de validación adecuada de una cadena suministrada por el usuario antes de usarla para ejecutar código Python", dice la descripción de la vulnerabilidad. Condon dice que no hay exploits de prueba de concepto (PoC) públicos conocidos. CVE-2026-0768 no es la primera vulnerabilidad de Langflow explotada este año. En marzo, los atacantes aprovecharon CVE-2026-33017, un fallo crítico de inyección de código, aproximadamente un día después de su divulgación, y lo usaron para ejecutar scripts de Python y robar archivos .ENV y de bases de datos. Le siguieron ataques que explotaban CVE-2026-5027 para escribir archivos arbitrarios en servidores vulnerables y CVE-2026-55255 para acceder a los flujos de trabajo de IA de otros usuarios, robar datos sensibles y entregar implantes de segunda etapa. Los atacantes también explotaron CVE-2026-0770 para ejecutar comandos con privilegios de root e intentaron desplegar malware y extraer credenciales de la nube, variables de entorno y metadatos de contenedores. Más recientemente, CISA advirtió que CVE-2026-9198 estaba siendo explotada después de que múltiples exploits de prueba de concepto estuvieran disponibles públicamente. Se recomienda a los usuarios de Langflow actualizar a la última versión disponible, la 1.11.6, que corrige todos los fallos conocidos en la popular herramienta.