Une Chaîne de Deux Appels a Livré le Root à 295 Attaquants

Une Chaîne de Deux Appels Transforme une Installation par Défaut en Root

La CVE-2026-9198 est une faille d'injection de code dans Langflow, la plateforme open source que les équipes utilisent pour construire visuellement des flux de travail d'agents d'IA, avec un score CVSS de 9,8 sur 10. Le chemin vers la compromission complète ne demande que deux requêtes. La première atteint le point d'accès /api/v1/auto_login, qui dans un déploiement par défaut n'est pas restreint à la machine locale et délivre un jeton d'authentification SUPERUSER à tout appelant du réseau, sans identifiants. La seconde requête utilise ce jeton contre /api/v1/validate/code, un point d'accès qui exécute du code Python fourni par l'attaquant via la fonction exec() du langage lui-même.

IBM, qui a repris la responsabilité du projet Langflow et le maintient sous le nom de Langflow OSS, a divulgué la vulnérabilité et publié la version 1.10.1 avec le correctif le même jour, le 17 juillet 2026. Les versions 1.0.0 à 1.10.0 sont concernées. Il n'existe pas de mitigation partielle sans la mise à jour : la faille se trouvant dans un comportement par défaut non authentifié, restreindre l'accès réseau à l'hôte Langflow est le seul contrôle provisoire qui ferme réellement la porte.

756 Tentatives, 295 Attaquants, 42 Pays au 12 Août

Une preuve de concept publique de la chaîne d'exploitation est apparue le 21 juillet 2026, quatre jours après la publication du correctif, et l'exploitation s'est accélérée à partir de là. La société de renseignement sur les vulnérabilités KEVIntel, qui exploite des capteurs spécifiquement pour capter le trafic d'attaque réel contre les failles cataloguées, a enregistré 756 tentatives d'exploitation depuis 295 adresses IP uniques d'attaquants réparties dans 42 pays entre le 6 juillet et le 12 août 2026.

L'agence américaine de cybersécurité CISA a ajouté la CVE-2026-9198 à son catalogue des vulnérabilités activement exploitées le 4 août, confirmant que l'activité n'était pas du bruit de scan mais de véritables tentatives de compromission. Le score EPSS de la vulnérabilité, un modèle qui prédit la probabilité d'exploitation dans les 30 prochains jours, s'établit à 17,4 pour cent - un chiffre notable pour une faille dotée d'une preuve de concept publique, la plupart des CVE cataloguées n'atteignant jamais les deux chiffres.

Pourquoi un Outil de Prototypage S'est Retrouvé Face à Internet

Langflow a été conçu pour permettre à un non-spécialiste de brancher rapidement un LLM sur un agent fonctionnel sans écrire beaucoup de code, et c'est précisément pour cela qu'il se propage ainsi dans une entreprise. Un data scientist ou un chef de produit peut monter une instance sur un ordinateur portable, un serveur partagé ou une VM cloud en un après-midi pour tester une idée, sans ticket ouvert auprès de l'infrastructure centrale et sans ligne dans un registre de sécurité.

Ce schéma est ce que les équipes de sécurité appellent de plus en plus l'IA fantome : des outils qui répondent à un besoin métier réel, souvent légitime, déployés en dehors des processus de gestion du changement et d'inventaire des actifs qui signaleraient normalement cette CVE pour un correctif immédiat. Les 295 adresses IP d'attaquants observées par KEVIntel n'avaient pas besoin de liste de cibles. Le comportement par défaut d'auto_login est scannable à l'échelle d'internet, et une instance dont plus personne ne se souvient est justement celle qui ne reçoit jamais l'alerte.

Ce Que Cela Signifie pour le Prochain Cycle de Correctifs, Pas Seulement Celui-ci

Pour toute organisation de l'UE ou du Royaume-Uni qui applique les obligations de gestion des risques de l'article 21 de NIS2, la leçon opérationnelle n'est pas la CVE elle-même, puisque le correctif tient en une mise à jour de version. Elle est que l'exigence de visibilité sur les systèmes de réseau et d'information prévue par l'article doit s'étendre aux instances mises en ligne par les équipes métier, et non par l'IT. Un CSIRT national peut seulement ajouter une faille comme celle-ci à ses recommandations publiques ; il ne peut pas inventorier à la place d'une entreprise son empreinte d'IA fantome.

La réponse pratique de cette semaine comporte trois volets : lancer un scan externe à la recherche de points d'accès /api/v1/auto_login exposés sur chaque sous-réseau et compte cloud contrôlé par l'organisation, pas seulement ceux déjà suivis par l'IT ; mettre à jour chaque instance de Langflow trouvée vers la version 1.10.1 ou ultérieure ; et faire de cet incident le déclencheur pour demander directement à chaque équipe produit et data quels outils d'IA elle a montés de son propre chef au cours des douze derniers mois.

À lire ensuite: La faille Cisco exploitée n'a obtenu que 5,3  |  45 601 failles, 171 sont vraiment exploitées