Консультативный материал по уязвимостям, для которых подтверждена эксплуатация в реальных атаках (есть в каталоге CISA KEV). Что произошло, что затронуто и как реагировать — без инструкций по атаке и без proof-of-concept.
Различия в источниках версий (проверено 23 октября 2026)
В GHSA указаны версии до 1.7.3 включительно без опубликованного исправления; CNA отмечает 1.4.2 как затронутую, а остальные версии как неизвестные. KEV ссылается на v1.9.0, но в примечаниях к этому релизу не указана минимальная исправленная версия для этой CVE. Рассматривайте эти области действия источников отдельно.
- CVE
- CVE-2026-0770 (включение функциональности из недоверенной управляющей сферы, CWE-829)
- Серьёзность
- Critical (CVSS 9,8) — активно эксплуатируется (CISA KEV)
- Тип
- Неаутентифицированное удалённое выполнение кода (RCE) в эндпоинте validate (проверки кода)
- Последствия
- Выполнение произвольного кода без аутентификации (во многих развёртываниях — root), кража учётных данных и метаданных облака, горизонтальное перемещение
- Затронуто
- Langflow 1.7.3 и более ранние версии
- Основная мера
- Прекратить открытый доступ (сетевая изоляция + аутентификация) и обновиться до последней версии
Доступ без аутентификации
Эндпоинт validate
Выполнение произвольного кода (во многих конфигурациях — root)
Кража учётных данных и метаданных облака / горизонтальное перемещение
Исправление: закрыть доступ извне (сетевая изоляция + аутентификация) и обновиться
Почему бездействие опасно
Поскольку выполнение кода с правами root доступно без аутентификации, публичные экземпляры Langflow становятся целью масштабного автоматического сканирования. По данным отчётов и разведки угроз, эксплуатация в реальных атаках наблюдалась примерно с 2026-06-27, а до того, как CISA добавила уязвимость в каталог KEV, было зафиксировано более 220 попыток эксплуатации с 64 уникальных IP-адресов. Наблюдаемое поведение включало проверки возможности выполнения команд, разведку системы, загрузку дополнительных скриптов и попытки получить доступ к учётным данным и метаданным облака. Если сервис был доступен из интернета, считайте его скомпрометированным.
Что затронуто
| Параметр | Подробности |
|---|---|
| Цель | Langflow (визуальный конструктор агентов и потоков ИИ) |
| Затронутые версии | 1.7.3 и более ранние (диапазон GHSA; CNA отмечает 1.4.2 как затронутую, остальные версии как неизвестные) |
| Исправленная версия | Исправленная версия в GHSA не зарегистрирована; KEV ссылается на v1.9.0. Минимальная исправленная версия здесь не установлена. Проверьте официальную информацию, обновитесь и сочетайте изоляцию с аутентификацией |
| Условие | Аутентификация не требуется (неаутентифицированная атака) |
| Достижимое последствие | Выполнение произвольного кода (RCE) → захват сервера, кража учётных данных и метаданных, горизонтальное перемещение |
| Статус | Активно эксплуатируется (CISA KEV) |
Замечание о различающихся оценках серьёзности (с обеих сторон)
Оценки различаются в зависимости от оценивающей стороны и версии CVSS. NVD и ZDI (ZDI-26-036) присваивают 9,8 (Critical) по CVSS 3.x; GitHub Advisory присваивает 8,9 (High) по CVSS 4.0. Оценки, полученные по разным версиям или при разных условиях оценки, напрямую не сопоставимы. Приоритет — ограничение доступа и обновление, так как сообщается о выполнении кода без аутентификации и реальной эксплуатации.
Это повторяющийся класс уязвимостей (важно)
Эндпоинты проверки и выполнения кода в Langflow ранее уже имели неаутентифицированные RCE, которые попали в каталог KEV (CVE-2025-3248), а по отдельной уязвимости Langflow сообщалось, что «исправленная» версия остаётся уязвимой для эксплуатации. Не считайте, что раз вы обновились, то вы в безопасности. Обновляться нужно, но сетевая изоляция, аутентификация и минимальные привилегии должны оставаться постоянными основными мерами контроля.
Как реагировать
Закройте доступ из интернета (первостепенная задача)
Обновитесь до последней версии (но не полагайтесь только на исправление)
Проверьте на компрометацию (исходите из того, что сервис был открыт)
Запускайте с минимальными привилегиями и сокращайте поверхность атаки
Отслеживайте CVE в автоматическом режиме и обновляйтесь быстро
Позиция этого сайта: инструменты, выполняющие код, по умолчанию не должны быть открыты
По сути, речь идёт меньше об одной ошибке, чем об открытии инструмента, который по своей природе выполняет код, для недоверенной сети. Конструкторы агентов ИИ и low-code-платформы часто допускают выполнение произвольного кода ради удобства, и экземпляр для «внутреннего тестирования» незаметно становится доступным из интернета. Обновление обязательно, но в долгосрочной перспективе окупается правило по умолчанию: инструменты выполнения кода для разработки и тестирования никогда не выходят в интернет, а также регулярный процесс автоматического отслеживания CVE для самостоятельно развёрнутых продуктов с быстрой блокировкой. См. также наш контрольный список безопасности для эпохи ИИ.
Читайте дальше
- Глоссарий: что такое RCE (удалённое выполнение кода) / что такое CVE / что такое SSRF
- Практика: руководство по устранению CVE (автоматический мониторинг и быстрая блокировка) / базовый уровень безопасности организации (сокращение доступа, минимальные привилегии)
- Все оповещения: оповещения об уязвимостях
Источники и область охвата
Эти первоисточники подтверждают настройки, область охвата или рекомендации по устранению, описанные выше; ссылки проверены 23 октября 2026 года. Учитывайте условия версии и конфигурации. Приоритеты контрольного списка и выводы — это рекомендации этого сайта, а не полная повторная проверка статьи и не гарантия безопасности.