La piattaforma open source per la costruzione di flussi di intelligenza artificiale Langflow torna al centro dell'attenzione con una nuova vulnerabilità critica, distinta da quella corretta a inizio giugno. Si tratta di CVE-2026-33017, punteggio CVSS 9.3, una remote code execution non autenticata che colpisce l'endpoint pubblico POST /api/v1/build_public_tmp/{flow_id}/flow. Il problema nasce dal fatto che questo endpoint accetta dati di flusso forniti dall'utente, inclusi frammenti di codice Python nelle definizioni dei nodi, ed li esegue lato server senza alcun sandboxing. Basta una singola richiesta HTTP, senza credenziali, senza catene di più passaggi: la superficie d'attacco più semplice possibile.

Il dato più significativo riguarda la velocità di reazione degli attaccanti. Secondo il team di ricerca di Sysdig, i primi tentativi di sfruttamento in rete sono comparsi appena 20 ore dopo la pubblicazione dell'avviso di sicurezza, quando ancora non esisteva alcun proof-of-concept pubblico: gli attaccanti hanno costruito un exploit funzionante direttamente a partire dalla sola descrizione tecnica della falla. Le campagne osservate installano silenziosamente un cryptominer Monero (XMR) personalizzato sui server Langflow esposti, ma il rischio reale va oltre il consumo di risorse per il mining: chi ottiene esecuzione di codice su un'istanza Langflow può accedere alle chiavi API e alle credenziali configurate nei flussi AI, spesso collegati a servizi cloud, modelli LLM a pagamento e basi dati aziendali. Sono vulnerabili tutte le versioni fino alla 1.8.2; la correzione è nella 1.9.0. Si tratta della terza falla critica di Langflow sfruttata attivamente in poche settimane, dopo la path traversal CVE-2026-5027 raccontata a giugno: un segnale che la piattaforma resta un bersaglio ricorrente per chi scansiona in massa gli endpoint AI esposti su internet.

Cosa significa per le aziende italiane

L'adozione di piattaforme low-code per l'intelligenza artificiale come Langflow sta crescendo rapidamente anche in Italia, spesso attraverso team di innovazione o data science che distribuiscono istanze di test o proof-of-concept esposte su internet senza gli stessi controlli di sicurezza riservati ai sistemi di produzione. È esattamente questo il profilo di bersaglio che gli attaccanti stanno scansionando in massa: server dimenticati, ambienti di sperimentazione, demo interne mai smantellate. Il danno non si limita al singolo server: se il flusso AI compromesso ha accesso a chiavi di servizi cloud o a dataset aziendali, l'incidente può trasformarsi in un punto di ingresso verso l'infrastruttura più ampia, con conseguenze che vanno dal furto di proprietà intellettuale alla violazione di dati personali trattati dai modelli.

Il contesto normativo

Un'istanza AI compromessa che tratta dati personali (ad esempio dataset di clienti usati per addestrare o testare modelli) può generare obblighi di notifica al Garante Privacy ai sensi del GDPR, qualora la violazione comporti un rischio per i diritti degli interessati. Per le imprese di maggiori dimensioni, l'episodio ricorda anche un punto spesso trascurato nei piani di gestione del rischio richiesti da NIS2: gli ambienti di sviluppo e sperimentazione AI, per quanto informali, vanno inclusi nell'inventario degli asset esposti e nel perimetro delle misure di sicurezza, non trattati come eccezioni prive di controlli.

Cosa fare subito

  • Aggiornare Langflow alla versione 1.9.0 o successiva su tutte le istanze, comprese quelle di test e sviluppo.
  • Individuare le istanze Langflow raggiungibili da internet (una ricerca su motori come Shodan o Censys aiuta a verificare l'esposizione) e portarle dietro autenticazione o VPN se non serve l'accesso pubblico.
  • Controllare i processi in esecuzione sui server Langflow alla ricerca di attività di mining anomale (uso CPU costante e anomalo, processi sconosciuti) come indicatore di compromissione.
  • Ruotare le chiavi API e le credenziali configurate nei flussi AI ospitati su istanze potenzialmente esposte, per precauzione anche in assenza di segni evidenti di compromissione.
  • Applicare il principio del privilegio minimo alle credenziali cloud collegate agli ambienti AI, in modo che una singola istanza compromessa non dia accesso a risorse più ampie.