Langflow CVE-2026-105740 : 1 423 tentatives d'exploit RCE détectées

Quand les outils de développement IA deviennent des vecteurs d'attaque

Langflow est une plateforme open source qui permet aux développeurs de concevoir, tester et déployer des workflows d'intelligence artificielle et des agents autonomes via une interface visuelle de type low-code. Largement adoptée dans les entreprises qui intègrent des LLM (Large Language Models) dans leurs processus métier, la plateforme est souvent exposée directement à Internet pour permettre l'accès aux équipes distribuées. Cette combinaison — adoption massive, exposition réseau fréquente, et une vulnérabilité critique — a créé une surface d'attaque que des acteurs malveillants ont rapidement commencé à exploiter à grande échelle.

CVE-2026-105740, publiée le 19 septembre 2026 après le déploiement du correctif dans Langflow 1.9.0, est une faille d'exécution de code à distance (RCE) authentifiée. Son score CVSS atteint 9.9 sur 10, soit l'un des niveaux de criticité les plus élevés qu'une vulnérabilité puisse recevoir. La cause racine est un manque flagrant de validation des entrées : le champ de configuration des serveurs MCP (Model Context Protocol) dans Langflow transmet les données directement à un interpréteur bash sans filtrage. La commande malveillante s'exécute automatiquement lors de la récupération de la liste des serveurs MCP, ce qui réduit considérablement la complexité d'exploitation pour les attaquants.

Le qualificatif "authentifiée" ne doit pas induire en erreur sur la gravité réelle de la faille. L'exploitation ne requiert pas de compte administrateur : n'importe quel utilisateur disposant d'un accès standard à l'instance Langflow peut déclencher l'exécution de commandes arbitraires avec les privilèges du processus Langflow sur le serveur. Dans de nombreux déploiements d'entreprise, Langflow s'exécute avec des droits élevés pour accéder aux ressources cloud, aux clés d'API et aux modèles de production — ce qui fait de cette instance un point d'entrée vers des actifs critiques bien au-delà de la plateforme elle-même.

Les premières tentatives d'exploitation ont été détectées par des capteurs honeypot dès le jour de la divulgation publique de la vulnérabilité, le 19 septembre 2026. Cette rapidité — exploitation dite "n-day" immédiate — illustre la vigilance des acteurs malveillants qui scrutent les publications CVE pour identifier et exploiter les systèmes non patchés avant que les équipes IT n'aient eu le temps de réagir. Selon les analyses publiées par The Hacker News et SecurityWeek, 1 423 tentatives d'exploitation distinctes ont été enregistrées sur les honeypots jusqu'au 15 octobre 2026, émanant de 27 adresses IP uniques.

La géographie des attaquants est révélatrice de la nature opportuniste de cette vague d'exploitation : les 27 adresses IP sources sont réparties dans 15 pays différents, dont la Belgique, la Chine, l'Allemagne, Hong Kong, le Japon, le Nigeria, les Philippines, la Russie, les Seychelles, Singapour, la Corée du Sud, Taïwan, la Tanzanie, les États-Unis et le Vietnam. Cette distribution mondiale suggère que la faille est exploitée par de multiples acteurs indépendants — probablement en combinaison avec des outils de scan automatisés — plutôt que par un groupe APT coordonné unique.

La cinétique d'exploitation est particulièrement préoccupante. Après une phase initiale de faible activité en septembre et début octobre, le nombre de tentatives a connu une accélération brutale le 11 octobre 2026 : 333 tentatives enregistrées en une seule journée. Ce schéma correspond typiquement à la publication d'un exploit public ou à l'intégration de la vulnérabilité dans un framework d'exploitation automatisé, ce qui abaisse dramatiquement la barrière technique pour les attaquants moins expérimentés. Le 15 octobre 2026, 66 nouvelles tentatives ont été enregistrées, confirmant que l'exploitation active se poursuit sans relâche.

Les payloads observés dans les tentatives d'exploitation ciblaient plusieurs objectifs distincts. Outre les tentatives de reverse shell classiques cherchant à établir un accès persistant, les chercheurs ont documenté des tentatives de vol de clés d'API stockées par Langflow — notamment des clés OpenAI, AWS et d'autres services cloud. Des analyses antérieures publiées en juin 2026 avaient déjà documenté des compromissions d'instances Langflow vulnérables pour déployer des mineurs de cryptomonnaie XMRig (Monero), confirmant la rentabilité de ce vecteur d'attaque pour les cybercriminels à motivation financière.

La CISA a réagi en ajoutant CVE-2026-105740 à son catalogue KEV (Known Exploited Vulnerabilities) et en ordonnant aux agences fédérales civiles américaines de patcher leurs instances Langflow en urgence. Pour les organisations du secteur privé, la recommandation est identique : mise à jour immédiate vers la version 1.9.0, restriction de l'accès réseau aux instances Langflow aux seules adresses IP autorisées, et audit des journaux d'accès pour identifier toute activité suspecte remontant au 19 septembre 2026.

L'essor des plateformes IA comme nouvelle surface d'attaque critique

CVE-2026-105740 illustre une dynamique préoccupante qui émerge depuis 2025 : les plateformes de développement et de déploiement d'intelligence artificielle — Langflow, Flowise, Ollama, LangChain — sont désormais des cibles privilégiées pour les cybercriminels. Ces outils combinent plusieurs caractéristiques qui en font des vecteurs d'attaque particulièrement attractifs : adoption rapide par des équipes de développement dont la priorité est la vitesse de mise en production, déploiements fréquemment exposés à Internet sans authentification forte, accès privilégié aux clés d'API de services cloud à haute valeur et exécution souvent avec des droits système étendus.

Cette attaque rappelle également les leçons non apprises de la sécurisation des pipelines CI/CD. Comme les outils Jenkins ou GitLab CI avant eux, les plateformes d'orchestration IA sont déployées rapidement dans des environnements de production sans passer par les cycles rigoureux de revue de sécurité appliqués aux applications métier traditionnelles. La faille Langflow n'est pas un incident isolé : Flowise avait été touché par une vulnérabilité similaire en 2024, et Ollama avait exposé des API non authentifiées accessibles depuis Internet, montrant que l'écosystème des outils IA open source souffre d'une immaturité structurelle en matière de sécurité.

Pour les équipes de sécurité, l'enjeu dépasse le simple patch de la CVE. Il s'agit de mettre en place une gouvernance spécifique pour les outils IA : inventaire exhaustif de toutes les instances déployées, politique d'authentification forte avec MFA pour tout accès, isolation réseau des instances non destinées à l'accès externe, rotation systématique des clés d'API après toute suspicion de compromission, et intégration de ces outils dans les scans de vulnérabilité réguliers au même titre que les applications métier critiques.

Sur le plan réglementaire, les obligations découlant de NIS2 imposent aux opérateurs de services essentiels un niveau de sécurité adéquat pour l'ensemble de leurs systèmes, y compris les outils de développement. Une instance Langflow compromise qui exfiltre des clés d'API de production constitue un incident de sécurité déclarable aux autorités compétentes dans les 24 heures suivant sa détection. Les organisations qui déploient des outils IA sans gouvernance de sécurité adéquate s'exposent à une double pénalité : impact opérationnel immédiat et risque réglementaire significatif dans le cadre des nouvelles obligations européennes en matière de cybersécurité.

Ce qu'il faut retenir

• Mettre à jour toutes les instances Langflow vers la version 1.9.0 immédiatement — CVE-2026-105740 est activement exploitée et n'importe quel utilisateur authentifié peut exécuter des commandes système arbitraires.
• Restreindre l'accès réseau aux instances Langflow aux seules IP autorisées et auditer les journaux depuis le 19 septembre 2026 pour détecter toute compromission passée.
• Inventorier et auditer l'ensemble des plateformes IA open source déployées dans l'organisation : elles constituent une nouvelle surface d'attaque critique insuffisamment surveillée et gouvernée.