Gli attacchi contro le piattaforme utilizzate per sviluppare applicazioni di intelligenza artificiale stanno diventando un obiettivo sempre più interessante per i cybercriminali. L’ultimo caso riguarda Langflow, popolare framework open source per la creazione di applicazioni AI, agenti, chatbot e sistemi RAG, preso di mira attraverso una vulnerabilità critica di esecuzione remota di codice identificata come CVE-2026-0768.

La falla consente a un attaccante di eseguire codice arbitrario senza autenticazione, sfruttando un problema presente nel code validator dell’editor utilizzato per creare componenti personalizzati. Il difetto interessa Langflow 1.4.2 e versioni precedenti e, secondo la descrizione della vulnerabilità, deriva da una gestione insufficiente dei dati forniti dall’utente prima del loro utilizzo per eseguire codice Python.

Il dettaglio più preoccupante è che l’esecuzione può avvenire con privilegi elevati, trasformando una semplice vulnerabilità applicativa in una possibile porta d’accesso completa al server che ospita l’istanza vulnerabile. VulnCheck ha rilevato lo sfruttamento attivo della CVE-2026-0768 attraverso i propri honeypot nel Regno Unito. Durante il fine settimana sono stati osservati almeno 50 tentativi di attacco, un numero cresciuto rapidamente fino a 360 tentativi secondo gli ultimi dati diffusi dalla ricercatrice Caitlin Condon. Gran parte del traffico malevolo osservato proveniva da indirizzi riconducibili alla Russia, anche se l’origine geografica del traffico non è sufficiente per attribuire gli attacchi a uno specifico gruppo.

Gli aggressori effettuano operazioni di ricognizione e interrogano le variabili d’ambiente alla ricerca di credenziali amministrative di Langflow, chiavi di autenticazione dei superuser, credenziali AWS e API key utilizzate per accedere ai servizi OpenAI.

vulnerabilità Langflow

Le richieste malevole cercano in particolare variabili associate a LANGFLOW_SUPERUSER, OPENAI_API e alle credenziali AWS. Gli attaccanti tentano inoltre di leggere il file contenente la secret key di Langflow e verificano la presenza di configurazioni SSH e informazioni potenzialmente utili nella cronologia dei comandi Bash.

Il caso evidenzia un problema sempre più evidente nella sicurezza delle applicazioni AI. Piattaforme come Langflow fungono spesso da punto di integrazione tra modelli linguistici, database, API, servizi cloud e sistemi aziendali. Di conseguenza, un singolo server compromesso può contenere una quantità particolarmente elevata di token, password e credenziali utilizzabili per spostarsi verso altri servizi.

La CVE-2026-0768 non rappresenta comunque un episodio isolato. Langflow infatti è già stato oggetto di numerosi attacchi nel corso di quest’anno, con vulnerabilità sfruttate per eseguire codice Python, sottrarre file .ENV e database, scrivere file arbitrari sui server e accedere ai workflow AI di altri utenti. In altri casi gli aggressori hanno cercato di distribuire malware e raccogliere credenziali cloud e metadati dei container.

La rapidità con cui queste vulnerabilità vengono trasformate in strumenti di attacco dimostra quanto sia rischioso considerare le piattaforme per lo sviluppo di applicazioni AI come semplici strumenti sperimentali. Quando vengono integrate nell’infrastruttura aziendale, possono diventare repository di segreti estremamente appetibili.

Gli utenti di Langflow dovrebbero quindi verificare immediatamente la versione installata e aggiornare alla più recente release disponibile (la 1.11.6), che corregge le vulnerabilità note. Per le organizzazioni che hanno esposto pubblicamente istanze vulnerabili, l’aggiornamento dovrebbe essere accompagnato dalla rotazione delle credenziali potenzialmente accessibili, perché la semplice applicazione della patch non elimina il rischio che token e chiavi siano già stati sottratti durante una precedente compromissione.

(Immagine in apertura: Shutterstock)