Faille critique dans Langflow : des attaquants aspirent des clés OpenAI et AWS

Une vulnérabilité critique dans Langflow, un framework open source très utilisé pour construire des agents et des applications d'intelligence artificielle par simple glisser-déposer, est activement exploitée depuis le week-end du 30 août. Référencée CVE-2026-0768 et notée 9,8 sur 10 sur l'échelle CVSS, elle permet d'exécuter du code à distance sans le moindre identifiant, avec les droits root sur le serveur visé.

La faille avait été révélée dès janvier 2026, mais elle est restée théorique pendant des mois avant de devenir une attaque massive. Selon le cabinet de recherche VulnCheck, les premières tentatives d'exploitation, une cinquantaine, sont apparues le week-end du 30 août ; elles avaient déjà grimpé à 360 détections le lundi suivant. Autrement dit, une faille connue depuis huit mois n'est devenue une menace réelle qu'en l'espace de quelques jours, une fois qu'un exploit fonctionnel a circulé.

Un simple champ de texte pour prendre la main sur le serveur

Le problème se loge dans le composant personnalisé de Langflow, celui qui permet aux utilisateurs d'écrire leur propre code Python pour étendre un agent. Le point de terminaison chargé de valider ce code, nommé « validate », ne filtre pas correctement ce qu'on lui envoie : un attaquant peut donc y glisser du code arbitraire, exécuté immédiatement avec les privilèges les plus élevés du système, sans avoir à s'authentifier au préalable.

Une fois entré, l'assaillant part à la pêche aux informations sensibles : variables d'environnement contenant des clés OpenAI ou des identifiants AWS, fichier de clé secrète de l'application, historique de commandes bash, accès SSH et jetons d'administration. Selon VulnCheck, cité par BleepingComputer, l'objectif est méthodique.

« L'attaquant effectue une reconnaissance et interroge les variables d'environnement pour collecter les identifiants administrateurs. »

Cette citation, attribuée à VulnCheck par BleepingComputer, résume l'enjeu : ce ne sont pas seulement des serveurs qui sont compromis, mais les clés d'accès à des services tiers, potentiellement facturés à l'usage, que ces serveurs hébergent.

Une seconde faille chez Rails complique la semaine

Le rapprochement est presque une coïncidence de calendrier : au même moment, une faille distincte touche Ruby on Rails, référencée CVE-2026-66066 et surnommée « KindaRails2Shell » par les chercheurs, avec un score CVSS de 9,5. Elle vise le composant Active Storage, chargé de traiter les fichiers envoyés par les utilisateurs, et permet un accès non authentifié à des fichiers, voire une exécution de code, via l'envoi d'une image piégée.

Selon The Hacker News, qui a documenté les deux campagnes en parallèle, Active Storage active par défaut des décodeurs d'image (la bibliothèque libvips) qui ne sont pas conçus pour traiter du contenu non fiable. Autrement dit, même une application Rails correctement mise à jour peut rester exposée tant que ces chaînes de désérialisation ne sont pas neutralisées à la racine, une nuance importante que corriger la version ne suffit pas toujours à effacer.

Des attaques venues de Russie, des sondes jusqu'en France

Le gros du trafic d'attaque observé sur Langflow proviendrait de Russie, avec des systèmes leurres touchés au Royaume-Uni, à Singapour et en Israël. Un détail retient l'attention des chercheurs : une adresse IP localisée en France aurait établi une communication de commande et de contrôle vers un hôte israélien, signe que la chaîne d'attaque traverse plusieurs pays avant d'atteindre sa cible finale.

Pour les applications Rails qui traitent des téléversements d'images, la prudence veut qu'on isole ces traitements dans un environnement sans accès aux secrets de production, en attendant un correctif qui referme réellement la chaîne d'exploitation plutôt que son seul point d'entrée connu.

Source

BleepingComputer et The Hacker News.