A vulnerabilidade CVE-2026-9198 combina dois endpoints da API do Langflow OSS para produzir execução remota de código sem autenticação em instâncias com configuração padrão. A falha, catalogada com CVSS 9,8 e adicionada ao Known Exploited Vulnerabilities Catalog da CISA em 4 de agosto de 2026, afeta todas as versões de 1.0.0 a 1.10.0 e exige atualização imediata para 1.10.1, sem qualquer mitigação alternativa disponível.
O Langflow é uma plataforma de orquestração de fluxos de IA open source adquirida pela IBM. Em deployments padrão, dois endpoints expostos na rede permitem que um atacante remoto obtenha privilégios de superusuário e execute código Python arbitrário no servidor hospedeiro. A CVE-2026-72898 no Metabase, outra falha recentemente adicionada ao KEV, segue um padrão similar de exploração sem autenticação em ferramentas de dados expostas.
Mecanismo da cadeia de RCE
A cadeia explora o encadeamento de dois endpoints distintos. O primeiro, /api/v1/auto_login, emite tokens de superusuário (SUPERUSER) para qualquer chamada que chegue pela rede, sem exigir credenciais. O segundo, /api/v1/validate/code, recebe código do usuário e o executa por meio da função nativa exec() do Python. Ao obter um token de superusuário no primeiro endpoint e enviá-lo no segundo, o atacante consegue executar comandos arbitrários no sistema operacional do host.
Segundo o boletim de segurança da IBM, o validador de código executava decoradores Python, argumentos padrão e anotações no momento da definição da função, o que permitia a execução de comandos arbitrários antes mesmo de qualquer chamada efetiva à função submetida. Isso significa que o simples envio do código malicioso já dispara a execução no servidor, sem depender de interação posterior do atacante ou da vítima.
O NVD descreve a falha como CWE-94 (Improper Control of Generation of Code), confirmada pela IBM como CNA (CVE Numbering Authority). A cadeia afeta exclusivamente instâncias onde o recurso de auto-login está habilitado e o endpoint de validação é acessível pela rede — condição presente na configuração padrão do produto.
Versões afetadas e severidade
| Versão afetada | Versão corrigida | CVSS 3.1 | CWE |
|---|---|---|---|
| 1.0.0 a 1.10.0 | 1.10.1 | 9,8 (Crítica) | CWE-94 |
O vetor CVSS 3.1 é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando ataque pela rede, sem privilégios, sem interação do usuário e impacto total em confidencialidade, integridade e disponibilidade. A CISA classificou o impacto técnico como total no framework SSVC, com exploração ativa e automação confirmada pela análise publicada no registro nacional.
A combinação de ataque remoto sem credenciais com execução arbitrária de código torna essa falha particularmente perigosa em ambientes onde o Langflow é exposto à internet sem segregação de rede. A função exec() do Python opera sem sandbox por padrão, o que concede ao atacante controle completo sobre o sistema operacional subjacente, incluindo leitura de arquivos, exfiltração de dados e instalação de persistência.
Triagem forense obrigatória
A inclusão de CVE-2026-9198 no catálogo KEV em 4 de agosto de 2026 fixou o prazo de remediação em três dias úteis para agências federais dos Estados Unidos, com vencimento em 7 de agosto. O directive BOD 26-04 exige que organizações verifiquem se o sistema foi comprometido antes da aplicação do patch, por meio de triagem forense.
Para ambientes com Langflow exposto à internet, os seguintes indicadores merecem investigação imediata:
- Logs de acesso aos endpoints
/api/v1/auto_logine/api/v1/validate/codeprovenientes de endereços IP não autorizados - Tokens de superusuário emitidos fora de janelas de uso legítimo do sistema
- Processos filhos inesperados do processo do Langflow, especialmente shells ou interpretadores Python instanciados pela aplicação
- Conexões de saída anômalas originadas do servidor da aplicação após acessos suspeitos à API
Registros de acesso ao endpoint /api/v1/auto_login mostram cada solicitação de token emitida. Em um sistema legítimo, esses acessos correspondem apenas a chamadas internas de inicialização da aplicação. Qualquer solicitação externa representa um indicador forte de tentativa de exploração.
A CISA recomenda que organizações que não consigam aplicar a correção avaliem a descontinuação do produto, conforme as diretrizes do BOD 26-04 para serviços em nuvem e ativos sem mitigação disponível.
Plano de remediação
O procedimento de correção segue os passos abaixo:
- Inventariar todas as instâncias de Langflow OSS na organização, incluindo deployments de desenvolvimento e ambientes de teste.
- Verificar exposição à internet de cada instância, especialmente o endpoint
/api/v1/auto_login. - Conduzir triagem forense nos logs de acesso antes do patch, conforme exigido pelo BOD 26-04.
- Atualizar para Langflow OSS 1.10.1, única versão corrigida disponível.
- Confirmar que nenhuma instância da versão 1.10.0 ou anterior permanece acessível pela rede.
- Restringir o acesso à API apenas a redes confiáveis, mesmo após o patch, como defesa em profundidade.
A IBM não oferece workaround ou mitigação alternativa. A única ação corretiva é a atualização para 1.10.1. Para organizações que já passaram pela triagem do conjunto de CVEs do KEV de 4 de agosto, a confirmação da versão corrigida encerra o ciclo de remediação.