Desde el 29 de agosto de 2026, atacantes explotan activamente una falla crítica en Langflow —un framework open source muy usado para construir aplicaciones y agentes de IA— para robar llaves de API de OpenAI y credenciales de AWS directo de servidores expuestos. La falla tiene puntaje CVSS 9.8, el máximo de severidad, y no requiere ni una sola credencial para ejecutarse.
La vulnerabilidad reside en el validador de código del editor de componentes personalizados de Langflow. El endpoint que hace esa validación, llamado "validate", acepta peticiones de cualquiera, sin login. Langflow nunca revisa qué hace el código enviado antes de ejecutarlo — simplemente lo corre. El resultado es ejecución remota de código (RCE) sin autenticación: cualquiera que encuentre una instancia de Langflow expuesta a internet puede correr comandos arbitrarios en el servidor.
La falla afecta a las versiones 1.4.2 y anteriores de Langflow. Aunque fue divulgada originalmente en enero de 2026, la firma de seguridad VulnCheck confirmó que la explotación activa masiva comenzó el 29 de agosto de 2026, y el número de ataques observados ha seguido creciendo desde entonces.
Los patrones de ataque documentados muestran un flujo de reconocimiento y robo de credenciales muy específico. Los atacantes consultan variables de entorno buscando LANGFLOW_SUPERUSER, además de patrones OPENAI_API*, AWS_ACCESS* y AWS_SECRET*. También leen el archivo /root/.cache/langflow/secret_key y revisan el acceso a claves SSH y el tamaño del historial de bash, señales típicas de reconocimiento antes de moverse lateralmente dentro de la red comprometida.
Langflow es popular precisamente porque simplifica armar pipelines de IA con una interfaz visual, lo que lo hace común en pruebas de concepto, prototipos internos y hasta despliegues de producción de equipos con poca experiencia en seguridad de aplicaciones. Ese mismo perfil —fácil de levantar, a veces expuesto a internet sin revisión— es lo que lo vuelve un blanco atractivo.
Para cualquier empresa que use Langflow, la prioridad inmediata es actualizar a una versión parchada y verificar que ninguna instancia esté expuesta públicamente sin autenticación de por medio (proxy reverso, VPN, o al menos autenticación básica delante del servicio). Igual de importante: rotar cualquier llave de API o credencial de nube que haya estado accesible como variable de entorno en un servidor Langflow, incluso si no hay evidencia directa de compromiso — el costo de rotar una llave es mucho menor que el de una cuenta de nube comprometida.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel