Langflow, la plataforma open source para armar flujos de agentes, tiene una falla de ejecución remota de comandos (CVE-2026-105740, CVSS 9.9) que cualquier usuario autenticado puede disparar sin ser administrador. Los honeypots de Previdian ya registraron 1.423 intentos de explotación desde el 19 de septiembre.
Cómo funciona la falla
Langflow permite conectar servidores MCP a un flujo de agentes. Con el transporte «Stdio», el servidor MCP es en realidad un comando local. En las versiones anteriores a 1.9.0, el campo command que envía el usuario se pasaba a bash -c "exec {command}" sin validación, lista de permitidos ni sandbox. Además, el campo env acepta variables arbitrarias, lo que abre la puerta a trucos como LD_PRELOAD o a reemplazar el PATH.
El flujo descrito por The Hacker News tiene dos pasos: primero, un usuario normal (no admin) hace un POST a /api/v2/mcp/servers/{nombre} con el comando malicioso; la configuración se guarda tal cual. Después, un GET a /api/v2/mcp/servers?action_count=true lista los servidores y, al hacerlo, ejecuta el comando. Como la configuración queda guardada en los ajustes del proyecto, se vuelve a ejecutar cada vez que se carga la lista y no es visible en una revisión normal del flujo.
Lo que vieron los honeypots
Según la alerta de Previdian citada por The Hacker News (15 de octubre de 2026), el honeypot acumuló 1.423 intentos desde el 19 de septiembre, provenientes de 27 direcciones IP en 15 países. La actividad se aceleró el 11 de octubre, con 333 intentos en un día; la cifra posteriormente se actualizó a 1.706 intentos desde 28 IP.
El patrón es el de un atacante que no depende de una falla de login: revisa la versión de Langflow, prueba /api/v1/auto_login (que el honeypot tenía desactivado y devolvió 403), entra con una credencial común y usa el token contra el endpoint vulnerable. Los payloads observados buscaban variables de entorno como LANGFLOW_SECRET_KEY y LANGFLOW_SUPERUSER_PASSWORD para enviarlas a un servidor externo, comandos Docker para llegar al sistema de archivos del host, lectura de /etc/passwd y sondeos con id y whoami.
Por qué importa más allá de Langflow
Esta no es la primera falla de MCP Stdio en la misma plataforma: THN menciona CVE-2026-105697, otra inyección de comandos por la configuración de servidores MCP (CVSS 9.9, corregida en 1.10.3), y la IP más activa también se ha asociado con ataques a Flowise (CVE-2026-69255) y a otras fallas de Langflow. El patrón es estructural: cuando un orquestador de agentes deja que el usuario defina «qué comando arranca la herramienta», esa función es, por diseño, ejecución de código. La pregunta de seguridad pasa a ser quién puede crear servidores MCP y con qué privilegios corre el proceso.
Cómo mitigarlo
- Actualizar a una versión corregida (1.9.0 o superior; revisar también la corrección de CVE-2026-105697).
- Desactivar el auto-login (
LANGFLOW_AUTO_LOGIN=false) y exigir contraseñas únicas y fuertes. - No exponer Langflow a redes no confiables y limitar las cuentas a personas de confianza.
- Revisar logs de autenticación y solicitudes a
/api/v2/mcp/servers/. - Rotar
LANGFLOW_SECRET_KEYy las credenciales de superusuario si hubo exposición.