Langflow CVE-2026-0768 explotado para robar claves de OpenAI y AWS

Un fallo crítico de ejecución remota de código en Langflow, el popular constructor low-code de aplicaciones LLM y agentes de IA, está siendo explotado de forma masiva. Registrado como CVE-2026-0768 (CVSS 9.8; desglosa el vector), permite a un atacante sin autenticar ejecutar Python arbitrario como root, y las cargas van directas a lo que hace valiosa una plataforma de IA: las claves de API de OpenAI y los secretos de la nube.

Qué ha pasado

Los investigadores de seguridad de VulnCheck informaron de un fuerte repunte de la explotación de CVE-2026-0768 a principios de septiembre de 2026. Sus honeypots en el Reino Unido registraron unos 50 intentos de explotación en un solo fin de semana, que subieron a unos 360 a medida que la campaña crecía, con tráfico procedente sobre todo de Rusia. Varios medios (BleepingComputer, SecurityWeek y Dark Reading) confirmaron que los ataques son oportunistas y abarcan todo internet.

Cómo funciona el fallo

Langflow incluye un editor visual para construir componentes personalizados. Su validador de código toma una cadena proporcionada por el usuario y la pasa al exec() de Python sin sanearla y sin exigir autenticación. Ese es todo el fallo: un endpoint pensado para validar un fragmento ejecuta lo que le envíes, con el usuario del proceso, que en los despliegues de contenedores por defecto suele ser root. Sin inicio de sesión, sin token, sin trucos: solo un POST a una instancia expuesta.

El fallo afecta a las versiones de Langflow 1.4.2 y anteriores y se divulgó por primera vez en enero de 2026; la corrección llegó en la 1.5.0. Lo nuevo en septiembre es la explotación: el parche lleva meses publicado, las instancias expuestas no se han actualizado y los atacantes han automatizado el resto.

Por qué a los equipos de IA debería preocuparles más, no menos

Algunos analistas han empezado a llamar a los frameworks de IA la nueva infraestructura de robo de credenciales, y esta campaña muestra por qué. Una vez que el atacante tiene ejecución de código, el objetivo no es desfigurar la aplicación, sino leer el entorno. El entorno de una plataforma de orquestación de LLM es especialmente rico: contiene las claves de OpenAI, Anthropic y de los proveedores de nube que la aplicación usa para llamar a los modelos, además del propio secreto de superusuario de Langflow. Si las robas, obtienes inferencia gratis a cuenta de otro, acceso a cualquier dato al que lleguen esos modelos y un punto de apoyo para moverte lateralmente. Es la misma lección que la de las campañas de robo de claves en LiteLLM y RAGFlow, y la de la brecha de OpenCode que vació las claves de API de proveedores de los desarrolladores: el gateway de IA es donde viven las claves.

Qué hacer ahora

• Aplica el parche de inmediato a Langflow 1.5.0 o posterior. Si hoy no puedes parchear, saca de internet las instancias expuestas: ponlas detrás de autenticación o de una VPN.
• Si estuviste expuesto, da por hecho el compromiso. Una instancia pública y sin parchear antes de este fin de semana debe tratarse como comprometida: rota todas las claves de OpenAI/Anthropic, todas las credenciales de la nube y el secreto de Langflow, y revisa la facturación de los proveedores en busca de gasto de inferencia anómalo.
• Localiza tu superficie de IA expuesta. La mayoría de los equipos no sabe qué servicios de IA son accesibles desde internet. Nuestro AI Footprint Scanner mapea esa superficie y la lista de seguridad de LLM (OWASP) recorre los modos de fallo específicos de los LLM que ejemplifica CVE-2026-0768.
• Trata el framework como una dependencia. Langflow va ya por su 12.º CVE explotado: inventárialo, controla su versión y vigílalo como cualquier otro componente de la cadena de suministro, con un análisis de paquetes y de la cadena de suministro y una lista de materiales de IA (AIBOM).

Fuentes

• BleepingComputer — Critical Langflow flaw exploited to steal OpenAI and AWS keys
• SecurityWeek — Hackers Start Exploiting Critical Langflow Vulnerability
• Dark Reading — Critical Langflow Flaw Exploited as Attacks on AI Platform Rise