Se ha detectado una vulnerabilidad crítica en Langflow, el constructor de IA de IBM, que permite a atacantes ejecutar código remoto sin autenticación. CISA ha incluido este fallo en su catálogo de vulnerabilidades explotadas, instando a las organizaciones a actualizar urgentemente a la versión 1.10.1 o superior. El problema radica en una configuración predeterminada que permite obtener permisos de superusuario y ejecutar código Python arbitrario.





Una vulnerabilidad crítica en Langflow, el constructor de IA de bajo código propiedad de IBM, permite que atacantes no autenticados ejecuten código de forma remota en despliegues predeterminados vulnerables, poniendo potencialmente en riesgo inmediato a las organizaciones que ejecutan dichas instancias.

La Agencia de Seguridad y Infraestructura de Ciberseguridad (CISA) añadió el martes la CVE-2026-9198 a su catálogo de Vulnerabilidades Explotadas Conocidas (enlace) tras identificar pruebas de explotación activa, e instó a las organizaciones a aplicar la guía de mitigación del proveedor lo antes posible. IBM afirma que el fallo afecta a las versiones OSS de Langflow desde la 1.0.0 hasta la 1.10.0 y recomienda actualizar a la versión 1.10.1 o posterior; en el momento de escribir esto, la versión más reciente es la 1.11.2.

Langflow, para quienes no estén familiarizados, es uno de los constructores de agentes de IA más accesibles del mercado. Está disponible en Linux, Windows y macOS, y es básicamente una interfaz gráfica de usuario (GUI) de arrastrar y soltar de extremo a extremo donde los usuarios pueden construir flujos de trabajo de agentes sin tener que saber mucho, o nada, sobre el código subyacente.

IBM posee la plataforma ahora, pero Langflow fue desarrollado originalmente por Logspace, que fue adquirida por DataStax en 2024 antes de que IBM absorbiera a DataStax, y a Langflow con ella, en 2025.

La adquisición de DataStax y sus herramientas como Langflow por parte de IBM allanó el camino para que Langflow se integrara en watsonx.ai, el estudio de desarrollo de IA de IBM, como una pieza de middleware que amplía las capacidades de watsonx.ai.

Sin embargo, los cambios de propiedad no impidieron que el fallo crítico llegara a las versiones de producción antes de que finalmente se solucionara.

Según IBM, la vulnerabilidad afecta a los despliegues predeterminados de Langflow y combina dos problemas que, al encadenarse, permiten a un atacante no autenticado ejecutar código de forma remota.

Primero, existe la cuestión de un punto final (endpoint) de inicio de sesión automático en los despliegues predeterminados que está dispuesto a emitir tokens de superusuario a cualquier llamador de red. Combine esos derechos de superusuario fácilmente obtenidos con el segundo problema, un punto final de validación de código que ejecutará cualquier código Python que se le envíe, y tendrá la receta para que alguien tome el control de todo su servidor Langflow, o algo peor.

La propia CVE fue publicada el 17 de julio, lo que significa que los actores malintencionados no han tardado en darse cuenta de lo que podrían hacer con una ejecución remota de código (RCE) en cualquier sistema que albergue un despliegue predeterminado de Langflow con el inicio de sesión automático habilitado y el punto final de validación de código accesible en la red.

Langflow en sí no es una plataforma de "vibe-coding", sino que sirve como interfaz para construir flujos de trabajo agentes y RAG, por lo que no culpe al vibe coding o a los fallos de seguridad de no-code por esto. En cambio, lo que parece que tenemos es un caso estándar de cómo los despliegues de configuración predeterminada pueden convertirse fácilmente en un desastre.

Se desconoce hasta qué punto se ha explotado esta vulnerabilidad; nos hemos puesto en contacto con IBM para obtener más información. ®

Fuente:
TheRegister