Langflow — Campaña de Ataques Masivos Apunta a Vulnerabilidad Crítica de RCE en el Protocolo MCP (CVE-2026-105740)

Fecha de publicación: 15 de octubre de 2026
Categoría: Vulnerabilidad / Inteligencia de Amenazas en Inteligencia Artificial

Introducción

La seguridad de las plataformas de desarrollo de flujos basados en Inteligencia Artificial ha quedado expuesta tras una intensa campaña de ataques automatizados. Según un reporte de telemetría de Previdian, se han registrado 1,423 intentos de explotación dirigidos contra una vulnerabilidad crítica de ejecución remota de código (RCE) en Langflow, identificada como CVE-2026-105740. El componente afectado involucra la gestión del Model Context Protocol (MCP), permitiendo que actores maliciosos ejecuten comandos arbitrarios a nivel de sistema operativo aprovechando deficiencias en la validación de entradas.

¿Qué es Langflow y el Vector de Ataque MCP? (Análisis General)

Langflow es una plataforma de código abierto ampliamente utilizada por desarrolladores para construir y desplegar aplicaciones impulsadas por modelos de lenguaje grande (LLM) y flujos de trabajo basados en agentes autónomos. En febrero de 2025, DataStax (su empresa matriz) fue adquirida por IBM. Dentro de su arquitectura, Langflow integra mecanismos de comunicación mediante el protocolo MCP (Model Context Protocol), diseñado para conectar herramientas y fuentes de datos externas.

Sin embargo, versiones anteriores a la 1.9.0 padecieron de una falla severa de control de validación en la configuración del transporte Stdio del servidor MCP. La vulnerabilidad está formalmente clasificada como CWE-78 (Improper Neutralization of Special Elements used in an OS Command — Inyección de Comandos de Sistema Operativo). Los datos oficiales de la National Vulnerability Database (NVD) confirman un vector CVSS v3.1 de 9.9 (CRITICAL) con la siguiente cadena exacta: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Esto significa que un atacante con privilegios mínimos de usuario puede escalar el impacto de manera sistémica debido al aislamiento deficiente en el contenedor o servidor host.

¿Cómo funciona? (Análisis Técnico)

El mecanismo de explotación se basa en la ausencia total de listas blancas (allowlists), validación sintáctica o entornos aislados (sandboxing) cuando Langflow procesa los parámetros de configuración de un servidor MCP.

  • Flujo inicial de entrada y autenticación: Los atacantes obtienen acceso inicial explotando credenciales débiles o combinándolo con fallos de autenticación previos (como el abuso de configuraciones permisivas de auto-login en despliegues mal configurados). Una vez dentro de la plataforma con un rol de usuario estándar, el atacante envía una petición HTTP POST manipulada al endpoint /api/v2/mcp/servers/{server_name}.
  • Inyección de comandos y variables: El cuerpo de la petición incluye un campo de comando (command) que es transferido directamente por la plataforma a la terminal mediante la ejecución interna bash -c "exec {command}". Asimismo, el campo de entorno (env) permite la inyección arbitraria de variables críticas del sistema (tales como sobrescrituras de PATH o inyecciones mediante LD_PRELOAD).
  • Disparador y persistencia: El comando malicioso no requiere una interacción compleja para ejecutarse; se despacha de forma inmediata en el instante en que el sistema procesa o consulta la lista de servidores a través de una petición HTTP GET (/api/v2/mcp/servers?action_count=true). Esto provoca que la configuración persista en las preferencias del proyecto, re-ejecutándose silenciosamente cada vez que se cargan las herramientas o se inicia el flujo.

Sistemas / Entornos Afectados

La vulnerabilidad impacta de forma directa a múltiples versiones de la plataforma de flujos de IA. A continuación se resume el panorama de fallos relacionados dentro del ecosistema:

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-105740 CWE-78 (Inyección de Comandos) Crítico 9.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-105697 CWE-78 (Inyección de Comandos) Crítico 9.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-9198 CWE-94 (Inyección de Código) Crítico 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-55255 CWE-639 (IDOR) Alto 8.4 CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L
CVE-2026-0768 CWE-94 (Inyección de Código) Crítico 9.8 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Versiones vulnerables de Langflow: Todas las versiones anteriores a la 1.9.0 (y variantes subsecuentes sin los parches de hardening en la rama 1.10.x, corregido de forma definitiva en la 1.10.3).
  • Entornos de riesgo: Instancias expuestas directamente a redes no confiables con la directiva predeterminada LANGFLOW_AUTO_LOGIN=true habilitada, permitiendo que atacantes sin credenciales obtengan tokens de superusuario.

Mitigación y Detección

Remediación

Los administradores de infraestructura y equipos de ingeniería deben implementar las siguientes acciones de mitigación de manera inmediata:

  1. Actualización de software: Actualizar Langflow a la versión 1.9.0 (o superior, recomendando la versión 1.10.3 o releases recientes de langflow-base y lfx), donde se han introducido controles estrictos de validación de rutas y saneamiento de argumentos en el transporte Stdio.
  2. Restricción de configuraciones: Deshabilitar explícitamente el inicio de sesión automático configurando LANGFLOW_AUTO_LOGIN=false en los archivos de entorno.
  3. Control de acceso y Hardening: Evitar la exposición directa de interfaces administrativas de Langflow hacia Internet y aplicar políticas de contraseñas robustas y únicas para todos los usuarios autenticados.

Detección

Los equipos de respuesta a incidentes (Blue Teams) deben revisar los registros de acceso en busca de solicitudes sospechosas dirigidas al endpoint /api/v2/mcp/servers/.

Nota de Inteligencia Defensiva: Las trazas de telemetría de los honeypots revelan que los atacantes priorizan la extracción masiva de variables de entorno críticas (como LANGFLOW_SECRET_KEY y LANGFLOW_SUPERUSER_PASSWORD), así como el despliegue de sondas de reconocimiento mediante comandos del sistema (id, whoami, lectura de /etc/passwd).

Patrón heurístico sugerido para análisis de logs HTTP:

regex 
POST /api/v2/mcp/servers/.* HTTP/.*
Host:.*
Content-Type: application/json
.*"command":\s*"(bash|sh|python|nc|curl|wget|cat\s+/etc/passwd).*"

Recapitulando

La campaña de explotación masiva contra Langflow demuestra cómo las nuevas integraciones en arquitecturas de agentes de Inteligencia Artificial —en este caso, el Model Context Protocol— pueden convertirse en vectores críticos de ataque si no se implementan controles rigurosos de saneamiento de entradas. Con más de 1,400 intentos registrados por sensores de honeypot globales, la actualización a versiones corregidas y la desactivación de funcionalidades de desarrollo en producción (como el auto-login) son pasos imperativos para evitar el compromiso total de la infraestructura subyacente.

Referencias