Faille critique de Langflow exploitée : quels correctifs appliquer ?

Une vulnérabilité critique de Langflow reste exploitée malgré la publication de correctifs de sécurité.

La société de renseignement sur les menaces Previdian a enregistré des tentatives d’exploitation visant CVE-2026-105740 jusqu’au 19 octobre 2026. Cette faille d’exécution de code à distance (RCE) affiche un score de gravité CVSS de 9,9 et permet à des utilisateurs authentifiés d’exécuter des commandes du système d’exploitation sur des serveurs vulnérables.

Les organisations qui utilisent Langflow pour créer des agents et des workflows d’IA s’exposent à une compromission potentielle des identifiants d’application et des systèmes connectés. La version 1.9.0 corrigeait la vulnérabilité initiale, mais une faille connexe d’injection de commandes a nécessité des protections supplémentaires dans la version 1.10.3.

Les attaques contre Langflow ciblent l’exécution de commandes MCP

La télémétrie d’exploitation de Previdian décrit des requêtes malveillantes ciblant la vulnérabilité. Ces résultats rendent compte de tentatives d’exploitation observées, et non de compromissions confirmées de systèmes de production.

Langflow est une plateforme open source de développement d’IA qui prend en charge les intégrations au Model Context Protocol (MCP). Des attaques visant les infrastructures d’IA antérieures ont également impliqué des services MCP, le vol d’identifiants et l’exécution non autorisée de commandes.

Selon l’avis de sécurité de Langflow, une validation insuffisante permettait à des utilisateurs authentifiés de transmettre des commandes du système d’exploitation via des serveurs MCP utilisant le transport standard d’entrée/sortie (stdio).

Les commandes pouvaient être exécutées avec les privilèges du service Langflow sans nécessiter d’accès administrateur. Une exploitation réussie pouvait exposer des identifiants, des fichiers sensibles et des ressources connectées. Des configurations malveillantes pouvaient également déclencher une exécution lorsque Langflow chargeait ensuite les définitions des serveurs MCP.

La configuration LANGFLOW_AUTO_LOGIN=true par défaut peut émettre des jetons d’accès sans identifiants de connexion, ce qui accroît l’exposition des déploiements accessibles publiquement. Une étude distincte a identifié des milliers de services d’IA accessibles depuis Internet, soulignant les problèmes de contrôle d’accès dans les infrastructures d’IA auto-hébergées.

Lacunes dans l’application des correctifs et contrôles de sécurité de Langflow

Langflow 1.9.0 corrigeait CVE-2026-105740 en introduisant une validation de l’interface de configuration MCP concernée. Cependant, d’autres chemins d’exécution de commandes restaient vulnérables en raison d’une faille connexe.

Un avis de sécurité connexe identifie CVE-2026-105697, une autre vulnérabilité critique d’injection de commandes MCP. Le langflowpackage langflow-base et les lfxpackages

Langflow 1.10.3 a étendu la validation à d’autres chemins d’exécution et supprimé un wrapper d’exécution de shell dangereux. Les administrateurs doivent effectuer la mise à niveau vers une version prise en charge récente intégrant les correctifs et vérifier toutes les dépendances installées par rapport aux plages de versions concernées indiquées dans l’avis.

Au-delà de l’application des correctifs, les risques de sécurité au sein des chaînes d’outils de développement de l’IA justifient des contrôles supplémentaires sur l’exécution des packages et l’accès aux systèmes connectés.

Les organisations doivent donner la priorité aux mesures suivantes :

• Appliquer les correctifs et vérifier les déploiements : Inventoriez les installations, mettez à jour les packages et conteneurs concernés, puis confirmez les versions en cours d’exécution.
• Imposer l’authentification et restreindre l’accès : Définissez LANGFLOW_AUTO_LOGIN=false, limitez les privilèges des utilisateurs et empêchez toute exposition publique inutile.
• Restreindre l’exécution des packages MCP : Configurez LANGFLOW_MCP_SERVER_ALLOWED_PACKAGES pour n’autoriser que les packages approuvés via les interpréteurs npx et uvx.
• Renforcer les environnements d’exécution : Activez le renforcement pris en charge des interpréteurs MCP et de Docker, limitez l’exécution de code personnalisé et appliquez le principe du moindre privilège.
• Surveiller les signes de compromission : Examinez les configurations MCP, les journaux d’accès, les processus et les connexions sortantes. Renouvelez les identifiants potentiellement exposés en cas de suspicion de compromission.
• Tester les plans de réponse aux incidents : Validez les procédures de détection, de confinement, de révocation des identifiants et de reprise pour les systèmes de développement de l’IA compromis.

L’application des correctifs ferme les chemins d’exécution corrigés, mais ne peut pas annuler une intrusion antérieure. Les organisations dont les installations ont été exposées doivent examiner l’activité historique et rechercher toute exécution de commandes suspecte avant de considérer la remédiation comme terminée.

À lire aussi : une autre faille RCE critique dans Orkes Conductor a également fait l’objet de milliers de tentatives d’exploitation, révélant des risques similaires dans les infrastructures de workflows.