L'entrée est arrivée à 15h12 UTC
La CISA a publié la version 2026.07.21 de son catalogue des vulnérabilités activement exploitées à 15:12:01 UTC le 21 juillet 2026, et CVE-2026-0770 y figurait. L'agence décrit la faille dans ses propres termes: "Langflow contains an inclusion of functionality from untrusted control sphere vulnerability that allows remote attackers to execute arbitrary code on affected installations." L'échéance pour les agences fédérales américaines tombe le 24 juillet 2026, trois jours après l'inscription, au titre de la Binding Operational Directive BOD 26-04, "Prioritizing Security Updates Based on Risk".
La forme technique explique le délai. Les bases de vulnérabilités retiennent un score CVSS 9.8, le défaut se situe dans validate_code(), qui transmet exec_globals à un appel exec() sans bac à sable, le processus concerné tourne en root et le point d'entrée n'exige aucune authentification. Les versions 1.4.2 à 1.7.3 sont touchées et le projet Langflow a livré le correctif dans la 1.9.0. La CISA classe la faiblesse en CWE-829 et note l'usage connu par des campagnes de rançongiciel comme inconnu.
Quatre semaines d'instances joignables
L'exposition précède l'inscription de près d'un mois. Les bases de suivi relèvent des tentatives d'exploitation contre cette faille depuis le 27 juin 2026, et sur une fenêtre de trente jours elles en ont compté 201 provenant de 61 adresses IP distinctes. L'entrée au catalogue a suivi le 21 juillet.
Ces chiffres doivent être lus pour ce qu'ils sont. C'est de la télémétrie de balayage et d'exploitation, et non un décompte confirmé d'entreprises compromises, et la CISA continue de noter l'usage par rançongiciel comme inconnu. Ce qu'ils établissent, c'est que l'espace d'adressage a été ratissé pendant des semaines alors que la plupart des dirigeants n'avaient jamais entendu le nom du produit.
Cela change le sens d'une découverte. Si quelqu'un dans votre entreprise trouve une instance Langflow cette semaine, l'hypothèse prudente est qu'elle a été joignable pendant ces quatre semaines, le travail comprend donc les journaux de processus, les connexions sortantes et chaque identifiant que l'instance détenait. Passer en 1.9.0 ferme la porte. Cela ne dit rien de qui l'a déjà franchie.
Un problème d'inventaire déguisé en problème de correctif
Le correctif est la partie facile. Cette catégorie de logiciel n'entre pas par la DSI. Les ateliers low-code pour l'IA sont montés par le marketing, les opérations et l'analytique, puisque c'est exactement la raison d'être du low-code, et ils atterrissent sur une instance cloud à laquelle pend un identifiant d'entreprise.
Aucune fiche à l'inventaire des actifs, aucune ligne dans la CMDB, aucun agent sur la machine. Le scanner de vulnérabilités qui aurait attrapé CVE-2026-0770 n'a jamais vu cet hôte, le cycle de correctifs auquel tout le monde se fie s'est donc retrouvé sans matière. Posez une autre question cette semaine: qui, dans cette entreprise, a le droit de démarrer un serveur, et qu'a-t-il démarré.
La couche d'outillage des agents est la nouvelle surface d'attaque
C'est la deuxième plateforme de construction d'agents d'IA à rejoindre ce mois-ci le catalogue des failles exploitées sur le terrain. La couche d'outillage qui assemble les agents est plus jeune et moins auditée que les applications qu'elle orchestre, et elle tourne avec davantage de privilèges que les deux.
Ce privilège est tout le sujet. Un atelier d'agents détient les identifiants de chaque système que ses agents touchent, si bien que root sur l'atelier atteint le CRM, la messagerie, l'entrepôt de données et le système de paiement que quelqu'un d'un autre service a câblés dans un flux. Le rayon d'action, c'est la liste des intégrations, et hors de ce service personne ne l'a lue.
Deux limites méritent d'être posées clairement. Le 24 juillet est une échéance fédérale américaine et n'a aucune portée juridique en Europe, et la télémétrie citée décrit du trafic d'attaque et reste en deçà d'une compromission avérée. Les obligations NIS2 dans l'Union européenne posent déjà l'inventaire des actifs sur le même bureau, qui est de toute façon le point d'arrivée de cette affaire.
À lire ensuite: Cette faille ColdFusion a été attaquée en minutes | Un certificat partagé est ce qui laisse entrer Qilin
