Una Catena di Due Chiamate Trasforma un'Installazione Predefinita in Root

CVE-2026-9198 è una falla di code injection in Langflow, la piattaforma open source che i team usano per costruire visivamente flussi di lavoro di agenti IA, con un punteggio CVSS di 9,8 su 10. Il percorso verso la compromissione completa richiede esattamente due richieste. La prima colpisce l'endpoint /api/v1/auto_login, che in un'installazione predefinita non è limitato alla macchina locale e rilascia un token di autenticazione SUPERUSER a qualsiasi chiamante sulla rete, senza credenziali. La seconda richiesta usa quel token contro /api/v1/validate/code, un endpoint che esegue codice Python fornito dall'attaccante tramite la funzione exec() del linguaggio stesso.

IBM, che ha assunto la responsabilità del progetto Langflow e lo mantiene come Langflow OSS, ha divulgato la vulnerabilita e rilasciato la versione 1.10.1 con la correzione lo stesso giorno, il 17 luglio 2026. Le versioni interessate vanno dalla 1.0.0 alla 1.10.0. Non esiste una mitigazione parziale senza l'aggiornamento: poiché la falla risiede nel comportamento predefinito non autenticato, limitare l'accesso di rete all'host Langflow è l'unico controllo provvisorio che chiude davvero la porta.

756 Tentativi, 295 Attaccanti, 42 Paesi entro il 12 Agosto

Un proof-of-concept pubblico della catena di exploit è apparso il 21 luglio 2026, quattro giorni dopo il rilascio della patch, e da lì lo sfruttamento è accelerato. La società di intelligence sulle vulnerabilità KEVIntel, che gestisce sensori appositamente per rilevare traffico di attacco reale contro falle catalogate, ha registrato 756 tentativi di sfruttamento da 295 indirizzi IP unici di attaccanti distribuiti in 42 paesi nel periodo dal 6 luglio al 12 agosto 2026.

L'agenzia statunitense per la cybersicurezza CISA ha aggiunto CVE-2026-9198 al suo catalogo delle vulnerabilità sfruttate note il 4 agosto, confermando che l'attività non era rumore di scansione ma tentativi genuini di compromissione. Il punteggio EPSS della vulnerabilità, un modello che prevede la probabilità di sfruttamento nei successivi 30 giorni, si attesta al 17,4 per cento - una cifra significativa per una falla con proof-of-concept pubblico, dato che la maggior parte delle CVE catalogate non raggiunge mai la doppia cifra.

Perché uno Strumento di Prototipazione È Finito Esposto a Internet

Langflow è stato costruito per permettere anche a chi non e uno specialista di collegare velocemente un LLM a un agente funzionante senza scrivere molto codice, ed è esattamente per questo che si diffonde in azienda nel modo in cui lo fa. Un data scientist o un product manager può avviare un'istanza su un laptop, un server condiviso o una VM cloud in un pomeriggio per testare un'idea, senza aprire un ticket verso l'infrastruttura centrale e senza comparire in alcun registro di sicurezza.

Questo schema è ciò che i team di sicurezza chiamano sempre più spesso IA ombra: strumenti che rispondono a un'esigenza di business reale, spesso legittima, distribuiti al di fuori dei processi di change management e inventario degli asset che normalmente segnalerebbero questa CVE per la patch immediata. I 295 indirizzi IP di attaccanti osservati da KEVIntel non avevano bisogno di una lista di bersagli. Il comportamento predefinito di auto_login è scansionabile su scala internet, e un'istanza che nessuno ricorda di aver avviato è esattamente quella che non riceve mai l'avviso.

Cosa Significa per il Prossimo Ciclo di Patch, Non Solo per Questo

Per qualsiasi organizzazione UE o britannica alle prese con gli obblighi di gestione del rischio dell'articolo 21 della NIS2, la lezione operativa non è la CVE in sé, dato che la correzione è un aggiornamento di versione di una riga. È che il requisito dell'articolo di mantenere visibilità sui sistemi di rete e informativi deve estendersi alle istanze che i team di business, non l'IT, hanno messo online. Un CSIRT nazionale può solo aggiungere una falla come questa alle proprie linee guida; non può inventariare al posto di un'azienda la sua impronta di IA ombra.

La risposta pratica di questa settimana ha tre parti: eseguire una scansione esterna alla ricerca di endpoint /api/v1/auto_login esposti su ogni sottorete e account cloud controllato dall'organizzazione, non solo quelli già tracciati dall'IT; aggiornare ogni istanza di Langflow trovata alla versione 1.10.1 o successiva; e usare questo incidente come occasione per chiedere direttamente a ogni team di prodotto e dati quali strumenti IA abbiano avviato autonomamente negli ultimi dodici mesi.

Da leggere ora: Il bug Cisco sotto attacco ha preso solo 5,3  |  45.601 falle, solo 171 vengono davvero usate