CVE-2026-9198 : IBM Langflow RCE non-auth CVSS 9.8 — CISA KEV

Les faits

Le 4 août 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a officiellement inscrit CVE-2026-9198 dans son catalogue Known Exploited Vulnerabilities (KEV), signalant une exploitation active in-the-wild. Cette vulnérabilité affecte IBM Langflow Open Source Software dans la totalité des versions comprises entre 1.0.0 et 1.10.0 incluses. Elle est cotée CVSS 9.8 selon le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, soit le score maximum atteignable sans atteindre 10.0, et se classe dans la catégorie CWE-94 (Improper Control of Generation of Code — Code Injection).

Langflow est un framework d'orchestration d'agents d'intelligence artificielle open-source développé en Python, conçu pour permettre la construction visuelle de pipelines IA multi-agents complexes. Après l'acquisition du projet communautaire par IBM, la plateforme a été intégrée aux offres IBM WatsonX et est massivement utilisée dans les environnements d'entreprise pour orchestrer des workflows combinant des modèles de langage de grande taille (LLM), des bases vectorielles, des API externes et des connecteurs métier. Sa popularité rapide en a fait une cible privilégiée des attaquants cherchant à compromettre des infrastructures IA sensibles.

La faille repose sur une chaîne d'exploitation en deux étapes exploitant deux endpoints API distincts. La première étape cible l'endpoint /api/v1/auto_login : conçu initialement pour simplifier les déploiements de développement en local, cet endpoint délivre des tokens JWT de niveau SUPERUSER à n'importe quel appelant réseau, sans aucune vérification d'identité, d'adresse IP source ou de contexte d'authentification. Aucune gestion de session, aucun cookie CSRF, aucun secret partagé n'est requis — une simple requête HTTP GET ou POST suffit à obtenir un jeton d'administration full-access.

Armé de ce token SUPERUSER, l'attaquant enchaîne avec une requête vers le second endpoint vulnérable : /api/v1/validate/code. Supposé valider syntaxiquement du code Python soumis par l'utilisateur, cet endpoint exécute en réalité le code fourni via la fonction native Python exec() sans aucun environnement sandboxé ni restriction AST (Abstract Syntax Tree). Toute charge utile Python arbitraire soumise à ce point d'entrée est exécutée avec les privilèges du processus Langflow — typiquement ceux du compte de service ou du conteneur hébergeant l'application. La combinaison des deux endpoints permet ainsi une exécution de code arbitraire complète en deux requêtes HTTP, sans authentification préalable.

La chronologie de la divulgation révèle une progression rapide de la menace. Selon les rapports publiés par GBHackers et SentinelOne, les premières tentatives d'exploitation automatisées ciblant spécifiquement l'endpoint /api/v1/auto_login ont été détectées sur l'Internet public dès les jours suivant la publication des détails techniques. L'EPSS (Exploit Prediction Scoring System) du NIST a rapidement progressé pour cette CVE, confirmant la probabilité élevée d'exploitation active dans un délai très court après divulgation. La CISA a officiellement confirmé cette exploitation dans son alerte du 4 août 2026, imposant aux agences gouvernementales américaines de la branche exécutive civile fédérale (FCEB) d'appliquer le correctif avant la date limite inscrite au catalogue KEV.

Du point de vue des conditions d'exploitation, aucune condition préalable particulière n'est nécessaire hormis l'accessibilité réseau au port HTTP de Langflow (port 7860 par défaut). L'attaque ne requiert aucune interaction utilisateur, aucun compte valide, aucune connaissance préalable de l'infrastructure cible. Des scanners automatisés peuvent identifier les instances Langflow vulnérables exposées sur Internet et déclencher l'exploitation en quelques secondes. La totalité de la chaîne d'attaque est documentée publiquement, ce qui rend l'exploitation accessible à des acteurs peu sophistiqués.

L'impact potentiel dépasse largement le cadre d'une simple compromission serveur. Les instances Langflow hébergent systématiquement des configurations contenant des clés API des principaux fournisseurs IA (Anthropic, OpenAI, Mistral, etc.), des credentials de bases vectorielles (Pinecone, Weaviate, Qdrant), des tokens d'accès à des systèmes tiers (Slack, HubSpot, bases SQL) et des secrets d'infrastructure. Un attaquant exploitant CVE-2026-9198 accède immédiatement à l'ensemble de ces secrets, pouvant monétiser l'accès par utilisation frauduleuse de crédits IA, exfiltration de données propriétaires, déploiement de cryptomineurs ou établissement de persistance dans les réseaux internes connectés via les workflows Langflow.

IBM a publié un advisory de sécurité officiel confirmant que la version 1.10.1 corrige la vulnérabilité en désactivant l'endpoint auto_login par défaut et en remplaçant l'appel exec() par un parseur AST restrictif dans l'endpoint de validation. Aucun contournement (workaround) satisfaisant n'existe pour les versions antérieures exposées réseau sans modification du code source — la seule mitigation valide consiste à appliquer le patch ou à isoler totalement le service du réseau. Selon les données de Shodan et FOFA citées par les chercheurs en sécurité, des dizaines de milliers d'instances Langflow restaient accessibles publiquement au moment de la divulgation, représentant une surface d'attaque considérable.

Impact et exposition

L'exposition est maximale pour toute organisation ayant déployé Langflow OSS versions 1.0.0–1.10.0 avec le service accessible sur le réseau. Les vecteurs d'exposition les plus courants incluent les déploiements cloud (AWS EC2, Azure VM, GCP Compute) ayant exposé le port 7860 via des règles de groupe de sécurité trop permissives, les environnements Kubernetes avec un Ingress ou LoadBalancer Langflow non restreint, les plateformes MLOps et notebooks Jupyter colocalisés avec des instances Langflow, ainsi que les environnements de développement devenus silencieusement accessibles depuis Internet.

Le vecteur d'attaque réseau (AV:N) combiné à la complexité d'attaque faible (AC:L) et à l'absence de privilèges requis (PR:N) fait de CVE-2026-9198 l'une des vulnérabilités les plus dangereuses de l'écosystème IA de 2026. L'impact en confidentialité, intégrité et disponibilité est triple à High. La confidentialité est compromise via l'exfiltration des secrets de configuration et des données traitées par les pipelines ; l'intégrité via la modification des workflows IA ou l'injection de backdoors dans les agents ; la disponibilité via l'interruption de service, le déploiement de ransomware ou le sabotage des pipelines de production.

Les secteurs prioritairement exposés sont la fintech (pipelines d'analyse IA sur données financières), la santé (workflows de traitement de données médicales via LLM), les cabinets de conseil et SSII ayant adopté Langflow comme outil interne d'automatisation, et les startups IA où la rapidité de déploiement a primé sur la sécurité. D'après les données d'exploitation confirmées par CISA, des compromissions réelles ont eu lieu avant la divulgation publique, suggérant que certains acteurs malveillants connaissaient la vulnérabilité avant sa publication officielle.

La criticité est encore amplifiée par le positionnement central de Langflow dans les architectures IA d'entreprise modernes. Compromettre un orchestrateur Langflow revient potentiellement à compromettre l'ensemble des systèmes en aval connectés à ses workflows : bases de données, APIs métier, systèmes CRM, ERP et plateformes de communication. Le mouvement latéral depuis une instance Langflow compromise vers d'autres composants de l'infrastructure est facilité par les credentials directement disponibles dans les configurations de workflow.

Recommandations immédiates

• Patcher immédiatement : mettre à jour Langflow vers la version 1.10.1 ou supérieure — IBM Security Advisory CVE-2026-9198 disponible sur le portail IBM Support (sans lien externe)
• Isolement réseau d'urgence : si la mise à jour immédiate est impossible, bloquer tout accès externe au port 7860 via règles de pare-feu ou groupes de sécurité cloud ; n'autoriser l'accès qu'en localhost ou via VPN
• Audit des logs d'accès : analyser les logs HTTP pour toute requête vers /api/v1/auto_login et /api/v1/validate/code — toute requête non légitime vers ces endpoints constitue un IOC (indicateur de compromission)
• Rotation immédiate des secrets : révoquer et régénérer toutes les clés API stockées dans les configurations Langflow (OpenAI, Anthropic, bases vectorielles, tokens tiers) sur les instances potentiellement exposées
• Vérification de persistance : contrôler l'absence de nouvelles tâches cron, de modifications de clés SSH autorisées, de processus inconnus ou d'agents de persistance déployés sur les hôtes hébergeant Langflow
• Indicateurs de compromission (IOC) : surveiller les connexions sortantes anormales depuis les serveurs Langflow, notamment vers des adresses IP inconnues sur des ports non standards