home / blog
2026-11-03 · critica
CVE-2026-110186: RCE critico in IBM Langflow OSS 1.0.0-1.12.8
RCE critico in Langflow OSS 1.0.0-1.12.8. CVSS 9,8. Code generation insufficiente. Aggiorna a 1.13.0.
CVE-2026-110186 è una vulnerabilità RCE in IBM Langflow OSS 1.0.0-1.12.8. Il difetto risiede in un controllo insufficiente sulla generazione di codice, che consente esecuzione di codice remoto. Colpisce organizzazioni che usano Langflow per applicazioni LLM in ambiente di produzione o sviluppo.
La vulnerabilità ha un punteggio CVSS di 9,8 ed è classificata come Critical. Non richiede autenticazione e può essere sfruttata remotamente, con massimo impatto su confidenzialità, integrità e disponibilità. Pubblicata su NVD il 2026-10-29, ha già generato 4 post su X nelle ultime 24 ore. Nei segnali pubblici è citato un modulo Metasploit, ma non è stato segnalato sfruttamento attivo al momento della redazione.
I team IT e sysadmin devono prioritizzare l'identificazione di tutte le istanze Langflow in produzione e in staging. La correzione è disponibile con la versione 1.13.0 e superiori. Si consiglia di aggiornare immediatamente con backup preliminare di database e materiale di configurazione critico. Nel frattempo, isolate istanze critiche da reti esterne e monitorate i log per attività anomale.
In sintesi
- Cosa
- Esecuzione di codice remoto (RCE) in IBM Langflow OSS dovuta a controllo insufficiente sulla generazione di codice. Interessa versioni 1.0.0 fino a 1.12.8.
- Gravità
- CVSS 9,8 – Critical. Attacco di rete, senza autenticazione richiesta, impatto massimo su confidenzialità, integrità e disponibilità.
- Versioni interessate
- IBM Langflow OSS 1.0.0 attraverso 1.12.8
- Correzione
- Aggiornare a versione 1.13.0 o superiore.
- Stato
- Pubblicato su NVD il 2026-10-29. In discussione attiva su X (4 post nelle ultime 24 ore). Modulo Metasploit già citato nei segnali pubblici.
- Azione
- 1) Identificare istanze Langflow in produzione; 2) Testare il rilevamento e isolare da rete se non patchato; 3) Aggiornare a 1.13.0+; 4) Verificare accessi anomali nei log.
Fonti: NVD, CVE-2026-110186