CVE-2026-105740 : Langflow RCE CVSS 9.9 exploité activement

Les faits

Le 5 octobre 2026, une vulnérabilité critique a été publiée sous l’identifiant CVE-2026-105740 affectant Langflow, une plateforme open source largement adoptée pour construire et déployer des agents et workflows d’intelligence artificielle. Le score CVSS v3.1 est établi à 9.9/10, classant cette faille en catégorie Critique selon les standards NVD/NIST. Le vecteur d’attaque est réseau (AV:N), la complexité d’attaque faible (AC:L), les privilèges requis faibles (PR:L — un compte utilisateur standard suffit), sans interaction utilisateur nécessaire (UI:N), avec une portée modifiée (S:C), impactant la confidentialité, l’intégrité et la disponibilité au niveau le plus élevé (C:H/I:H/A:H).

La faille réside dans l’implémentation du transport MCP (Model Context Protocol) de type Stdio dans Langflow. Lorsqu’un utilisateur authentifié configure un serveur MCP avec le transport «Stdio», le champ «command» fourni par l’utilisateur est transmis directement à l’interpréteur bash avec la syntaxe bash -c "exec {command}", sans aucune validation des entrées, sans liste blanche de commandes autorisées, et sans mécanisme de sandboxing ou d’isolation de processus. La commande s’exécute immédiatement lors du chargement de la liste des serveurs MCP configurés. Il s’agit d’une injection de commande OS classique (CWE-78), amplifiée par l’absence totale de contrôles de sécurité dans le pipeline d’exécution de Langflow.

La chronologie de la découverte révèle une exposition significative avant le déploiement du correctif. La vulnérabilité a été identifiée par les chercheurs en sécurité de HOL Guard, qui ont publié un avis technique détaillé. La divulgation responsable auprès de l’équipe Langflow a conduit à la publication du correctif intégré dans la version 1.9.0. Cependant, la fenêtre entre la publication de l’advisory et le déploiement du patch par les organisations utilisatrices a laissé de nombreuses installations exposées à des acteurs malveillants ayant suivi la divulgation publique.

La société de détection des menaces Previdian a émis une alerte après que ses honeypots ont enregistré 1 423 tentatives d’exploitation distinctes ciblant CVE-2026-105740 en moins de 72 heures suivant la publication de l’advisory. Ces tentatives proviennent de multiples adresses IP distribuées géographiquement, suggérant une campagne d’exploitation opportuniste coordonnée. Selon The Hacker News du 15 octobre 2026, l’exploitation est confirmée en conditions réelles. Les payloads observés incluent des commandes de reconnaissance initiale (whoami, id, uname -a, env), des téléchargements de reverse shells via curl et wget, ainsi que des tentatives d’installation de miners de cryptomonnaie sur les serveurs compromis.

La criticité particulière de CVE-2026-105740 tient à la nature même de Langflow et de ses déploiements typiques en entreprise. Langflow est fréquemment utilisé pour orchestrer des agents IA qui disposent d’accès à des bases de données internes, des API tierces (OpenAI, Anthropic, Pinecone), des systèmes de fichiers contenant des données sensibles, et des credentials stockés en variables d’environnement ou dans des fichiers de configuration. Un attaquant exploitant cette vulnérabilité peut donc rapidement pivoter depuis l’exécution de commandes OS vers la compromission complète de l’infrastructure sous-jacente, l’exfiltration de clés API, ou l’injection dans des pipelines CI/CD intégrés à Langflow via ses connecteurs natifs.

D’un point de vue technique, l’exploitation ne nécessite qu’un compte utilisateur standard dans Langflow — ce compte peut avoir été créé légitimement par un développeur interne, obtenu par phishing, ou créé après exploitation d’une autre vulnérabilité permettant un accès initial. Aucun privilège administrateur n’est requis. Le processus d’exploitation se déroule en trois étapes : connexion à l’interface Langflow avec des credentials valides, création d’un nouveau serveur MCP avec transport Stdio et un payload malveillant dans le champ «command», puis déclenchement du chargement de la liste des serveurs MCP. La commande s’exécute avec les privilèges du processus Langflow sur le système hôte, souvent root dans les déploiements rapides non durcis.

L’analyse publiée par OSV (Open Source Vulnerabilities) confirme que toutes les versions de Langflow strictement antérieures à 1.9.0 sont vulnérables sans exception. Langflow 1.9.0 a introduit des contrôles de validation stricts sur le champ «command» du transport MCP Stdio, incluant une liste blanche d’exécutables autorisés, une désinfection systématique des entrées utilisateur, et l’isolation du processus via des mécanismes de sandboxing au niveau du système d’exploitation. Le correctif est disponible via PyPI (pip install langflow==1.9.0) et via GitHub Releases. Les déploiements basés sur Docker doivent tirer l’image langflowai/langflow:1.9.0 ou une version ultérieure.

Cette vulnérabilité s’inscrit dans un contexte plus large de risques de sécurité liés aux plateformes d’orchestration IA. Les outils d’agentic AI comme Langflow, n8n, Flowise ou LangGraph présentent des surfaces d’attaque particulièrement sensibles car ils combinent des accès réseau étendus, de nombreuses intégrations avec des systèmes tiers, et des capacités d’exécution de code. Les équipes de sécurité sont invitées à traiter ces plateformes avec le même niveau de rigueur qu’un serveur d’application critique, en appliquant systématiquement le principe du moindre privilège et en segmentant les déploiements Langflow des réseaux de production sensibles.

Impact et exposition

Tous les déploiements de Langflow en version antérieure à 1.9.0 accessibles depuis un réseau sont directement exposés, dès lors qu’un attaquant dispose d’un compte utilisateur valide. Les environnements les plus critiquement exposés sont les instances déployées avec une interface accessible depuis Internet (plateformes SaaS internes, portails de développement IA), les installations multi-utilisateurs où les comptes sont partagés ou peu sécurisés, et les pipelines d’automatisation IA accessibles depuis des VLAN non isolés ou des environnements de développement.

L’impact en cas d’exploitation réussie est maximal : exécution de code arbitraire avec les privilèges du processus Langflow sur le serveur hôte, accès complet à l’ensemble des variables d’environnement (clés API OpenAI, Anthropic, AWS, clés de bases de données, tokens OAuth), lecture et modification des workflows et agents configurés, et possibilité de mouvement latéral vers d’autres systèmes accessibles depuis le serveur hôte. Si Langflow tourne en tant que root — configuration fréquente dans les déploiements rapides — l’attaquant obtient un contrôle total du serveur.

Les données de Previdian indiquent que les 1 423 tentatives d’exploitation ont été détectées en moins de 72 heures suivant la publication de l’advisory, témoignant d’une exploitation active et immédiate. Aucun groupe APT spécifique n’a été formellement attribué à ces campagnes à ce stade, mais le profil des payloads — miners de cryptomonnaie et reverse shells génériques — suggère une exploitation à visée financière plutôt qu’une campagne d’espionnage étatique ciblé.

Recommandations immédiates

• Mettre à jour Langflow vers la version 1.9.0 ou supérieure — Langflow Security Advisory CVE-2026-105740
• Si la mise à jour immédiate est impossible : désactiver le transport MCP Stdio dans la configuration Langflow et restreindre l’accès réseau à l’interface Langflow via firewall, VPN obligatoire ou MFA renforcé
• Auditer les logs d’accès Langflow pour détecter des créations récentes de serveurs MCP avec transport Stdio contenant des métacaractères shell (;, |, &&, $(), /bin/bash, curl, wget)
• Révoquer et regénérer toutes les clés API et credentials stockés dans les variables d’environnement du serveur Langflow si une exploitation est suspectée
• Vérifier que le processus Langflow ne tourne pas en tant que root — appliquer le principe du moindre privilège avec un compte dédié à permissions restreintes