A falha no Langflow voltou a colocar plataformas de orquestração de inteligência artificial no centro das atenções dos pesquisadores de segurança. A vulnerabilidade CVE-2026-0768, uma falha crítica de execução remota de código (RCE) sem autenticação, está sendo explorada ativamente contra instalações vulneráveis. Segundo dados da VulnCheck, ataques observados em honeypots saltaram de dezenas de tentativas para mais de 360 ocorrências, com os invasores procurando especificamente credenciais capazes de abrir portas para serviços de IA e infraestrutura em nuvem.
O cenário é especialmente preocupante porque os atacantes não parecem interessados apenas em comprometer o servidor. A atividade observada inclui consultas a chaves da OpenAI, credenciais da AWS, segredos administrativos do Langflow, chaves SSH e arquivos sensíveis. Em outras palavras, a RCE pode funcionar apenas como o primeiro estágio de uma invasão muito maior.
Neste artigo, vamos explicar como funciona a CVE-2026-0768, como os invasores estão explorando a falha, quais outras vulnerabilidades recentes atingiram o projeto e quais medidas devem ser tomadas imediatamente para reduzir o risco.
O que é o Langflow e como funciona a vulnerabilidade CVE-2026-0768
O Langflow é uma plataforma de código aberto desenvolvida em Python que permite construir aplicações baseadas em inteligência artificial por meio de uma interface visual. Ela pode ser utilizada para montar agentes, pipelines de processamento, aplicações com LLMs, integrações com bancos de dados vetoriais e arquiteturas de RAG (Retrieval-Augmented Generation).
Essa praticidade, entretanto, traz um desafio importante de segurança: determinados componentes do Langflow permitem trabalhar diretamente com código Python.
A CVE-2026-0768 está relacionada ao mecanismo de validação de código do editor de componentes personalizados. O problema está na ausência de uma validação adequada de uma string fornecida pelo usuário antes que ela seja encaminhada para execução como código Python.
O resultado é uma condição de execução remota de código sem autenticação. De acordo com os registros disponíveis, a vulnerabilidade possui CVSS 9.8, pode ser explorada remotamente e permite execução no contexto do processo do Langflow, incluindo cenários em que o serviço opera com privilégios de root.
As versões até 1.4.2 são apontadas como afetadas. Relatos sobre a exploração atual identificam a versão 1.11.6 como a atualização recomendada para corrigir a vulnerabilidade e, principalmente, colocar a instalação em uma versão que contemple as correções de segurança mais recentes.
O detalhe mais importante é que a exploração não exige que o usuário clique em um link ou forneça credenciais. Uma instância vulnerável e acessível pela rede pode ser suficiente para que o atacante tente obter execução de código.
Como os atacantes estão agindo na prática
A dimensão da campanha ficou mais clara com a telemetria da VulnCheck.
Os pesquisadores inicialmente observaram aproximadamente 50 tentativas de exploração em seus honeypots. O volume posteriormente ultrapassou 360 ataques observados, demonstrando que a vulnerabilidade não está sendo tratada apenas como uma ameaça teórica.
Mais preocupante ainda é o conteúdo das requisições.
Depois de obter a possibilidade de executar código, os invasores estão realizando reconhecimento do ambiente e procurando variáveis que possam conter credenciais. Entre os alvos observados estão:
LANGFLOW_SUPERUSER, associado às credenciais administrativas do Langflow;OPENAI_API*, utilizado para localizar chaves de acesso a serviços da OpenAI;AWS_ACCESS*, relacionado às credenciais de acesso da AWS;AWS_SECRET*, utilizado para procurar chaves secretas da infraestrutura de nuvem.
Também foram observadas tentativas de acessar arquivos como /root/.cache/langflow/secret_key, além de verificar recursos relacionados a SSH e ao histórico do Bash.
Isso revela uma estratégia bastante objetiva: usar a RCE para transformar o servidor do Langflow em um ponto de coleta de credenciais.
O risco, portanto, não termina no comprometimento da aplicação. Uma chave da OpenAI roubada pode resultar em consumo indevido de créditos, acesso a recursos associados à conta e exposição de dados dependendo das permissões configuradas. Já credenciais da AWS podem oferecer acesso a buckets, bancos de dados, máquinas virtuais, serviços de armazenamento e outros recursos da infraestrutura.
Por isso, uma falha no Langflow pode transformar rapidamente um problema de aplicação em um incidente de segurança envolvendo toda a infraestrutura.
O histórico recente de segurança do Langflow
A CVE-2026-0768 também não aparece isoladamente. O projeto enfrentou uma sequência de problemas de segurança envolvendo execução de código, autenticação, acesso indevido a fluxos e manipulação de arquivos.
Entre os casos recentes está a CVE-2026-33017, uma vulnerabilidade crítica de injeção de código que chegou a ser explorada ativamente e foi adicionada ao catálogo Known Exploited Vulnerabilities (KEV) da CISA. A falha permitia execução remota de código em determinadas funcionalidades relacionadas à construção de fluxos públicos.
A CVE-2026-5027 trouxe outro problema sério: uma vulnerabilidade de path traversal no mecanismo de upload permitia a gravação arbitrária de arquivos no sistema. Em determinadas condições, esse tipo de primitiva pode ser encadeado com outros recursos para chegar à execução de código.
Já a CVE-2026-55255 era uma falha de IDOR, permitindo que um usuário autenticado acessasse ou executasse fluxos pertencentes a outro usuário por meio do endpoint de respostas. A correção foi disponibilizada a partir da versão 1.9.1.
Outra vulnerabilidade importante foi a CVE-2026-0770, relacionada ao parâmetro exec_globals do mecanismo de validação. O problema permitia RCE não autenticada e execução no contexto de root em versões afetadas.
Mais recentemente, a CVE-2026-9198 demonstrou novamente o perigo de combinar falhas de autenticação e execução de código. A vulnerabilidade permite encadear o endpoint de auto-login com a validação de código para alcançar RCE não autenticada. O problema afeta versões de 1.0.0 a 1.10.0 e foi incluído no catálogo KEV da CISA em agosto de 2026.
Esse histórico mostra por que segurança no Langflow não pode ser tratada como uma tarefa pontual. Aplicações capazes de executar código, acessar APIs e conversar com bancos de dados precisam passar por atualizações, auditorias e processos de endurecimento contínuos.
Como proteger sua aplicação e atualizar o sistema
A primeira medida é direta: atualize o Langflow para a versão 1.11.6, apontada nos relatos atuais como a versão recomendada para tratar a campanha envolvendo a CVE-2026-0768 e consolidar correções recentes de segurança.
Porém, simplesmente atualizar o pacote pode não ser suficiente se a instalação já tiver sido exposta.
Administradores devem considerar as seguintes medidas:
1. Identifique todas as instâncias do Langflow.
Servidores de desenvolvimento, máquinas de testes, ambientes Docker e instalações temporárias frequentemente ficam fora do inventário oficial. Verifique servidores Linux, containers e serviços publicados na internet.
2. Restrinja o acesso à interface administrativa.
O Langflow não deve ficar diretamente exposto à internet sem controles adicionais. Utilize firewall, VPN, redes privadas, listas de controle de acesso ou mecanismos de autenticação e proxy reverso adequadamente configurados.
3. Atualize para a versão 1.11.6.
Não mantenha instalações antigas apenas porque determinado fluxo continua funcionando. Em uma aplicação que executa código e armazena credenciais, a versão utilizada faz parte da superfície de segurança.
4. Rotacione credenciais potencialmente expostas.
Se uma instância vulnerável estava acessível externamente, trate como potencialmente comprometidas as credenciais disponíveis no processo. Isso inclui chaves da OpenAI, credenciais da AWS, tokens, senhas de bancos de dados e segredos do próprio Langflow.
5. Revise os logs.
Procure requisições incomuns, execuções inesperadas de Python, criação de processos filhos, alterações de arquivos, acessos ao diretório .ssh, leitura de históricos de shell e conexões de saída desconhecidas.
6. Reduza os privilégios.
Evite executar o Langflow como root sempre que possível. Um comprometimento de uma aplicação com privilégios elevados aumenta drasticamente o impacto de uma RCE.
7. Proteja os segredos.
Evite concentrar credenciais permanentes em variáveis de ambiente quando uma arquitetura baseada em gerenciadores de segredos, credenciais temporárias e permissões mínimas puder ser utilizada.
8. Isole os containers.
Para instalações Docker, utilize usuários não privilegiados, filesystem somente leitura quando possível, limites de recursos e restrições de rede. O objetivo é impedir que uma falha na aplicação se transforme automaticamente em comprometimento do host.
Conclusão: a falha no Langflow mostra o novo alvo da segurança de IA
A exploração da CVE-2026-0768 deixa uma mensagem importante para equipes que estão construindo aplicações de inteligência artificial: a infraestrutura que conecta os modelos também precisa ser tratada como infraestrutura crítica.
Ferramentas como Langflow concentram fluxos de IA, integrações com APIs, bancos de dados, armazenamento e credenciais de serviços externos. Quando uma vulnerabilidade permite execução de código nesse ambiente, o atacante pode tentar transformar uma única aplicação comprometida em uma porta de entrada para toda a infraestrutura.
O aumento para mais de 360 tentativas observadas pela VulnCheck mostra que existe interesse real dos criminosos em explorar essas plataformas.
Para administradores, desenvolvedores e equipes de segurança, a recomendação é clara: verifique agora suas instalações do Langflow, atualize para a versão 1.11.6, restrinja a exposição externa e considere comprometidas as credenciais de qualquer ambiente vulnerável que tenha ficado acessível à internet.
Se sua organização utiliza Langflow em produção, este é também um bom momento para revisar permissões, isolamento de containers, gerenciamento de segredos e monitoramento de atividades anômalas. No atual cenário de ataques contra ferramentas de IA, manter o componente atualizado é apenas a primeira camada de defesa.
