In sintesi
CVE-2026-55255 è una falla cross-tenant in Langflow, lo strumento open source con cui i team costruiscono agenti AI e applicazioni LLM, ed è sfruttata attivamente per rubare le credenziali che queste applicazioni conservano. Un utente autenticato può eseguire qualsiasi flow di un altro utente semplicemente indicandone l’ID, e raccogliere i segreti OpenAI, Anthropic, AWS e dei database incorporati. La CISA l’ha aggiunta al catalogo KEV il 7 luglio 2026, con scadenza federale per la patch il 10 luglio.
La lettura pratica per i responsabili tecnici: un server di orchestrazione AI è una cassaforte concentrata di credenziali subito monetizzabili, e Langflow è diventata una delle prime piattaforme di agenti con una falla nella lista “da correggere subito” della CISA. Se usate Langflow o un altro builder visuale di LLM, applicate la patch, toglietelo da internet e ruotate ogni chiave che i vostri flow abbiano mai contenuto.
Che cosa è successo esattamente?
Langflow è un diffuso canvas low-code open source per collegare grandi modelli linguistici, API e sorgenti dati in “flow” eseguibili — la spina dorsale visuale di molti agenti AI e prototipi LLM. CVE-2026-55255 è un riferimento diretto a oggetto non sicuro (IDOR) cross-tenant in questa piattaforma, descritto anche come aggiramento dell’autorizzazione tramite una chiave controllata dall’utente, con punteggio CVSS 9.9. In pratica: un utente autenticato può eseguire un flow che appartiene a un altro semplicemente fornendone l’ID, senza alcun controllo sui permessi.
Il Threat Research Team di Sysdig ha segnalato il primo sfruttamento noto sul campo a fine giugno 2026 — prima ancora che esistesse un proof of concept pubblico. L’operatore seguiva un copione automatizzato in ordine fisso: autenticarsi, elencare i flow tramite l’endpoint /api/v1/flows/, quindi riutilizzare gli ID scoperti per eseguire i flow di altri tenant e far loro rivelare i segreti incorporati. Poiché un flow dirottato gira con le proprie credenziali salvate, l’attaccante si è portato via chiavi dei provider LLM, chiavi di accesso AWS e segreti dei database. È proprio il tipo di esposizione che sottovalutano i team che sviluppano agenti AI: il livello di orchestrazione custodisce le chiavi di tutto ciò a cui è collegato.
L’IDOR non era sola. La stessa campagna l’ha concatenata con CVE-2026-33017, una falla di esecuzione di codice remota senza autenticazione in Langflow (CVSS 9.3), che la CISA aveva già inserito nel catalogo a marzo 2026 e che è stata usata contro migliaia di server esposti. I ricercatori descrivono l’attore come opportunista e motivato dal profitto: monetizza tutto ciò che un host offre — rivendita delle chiavi, abuso delle quote LLM e installazione di ulteriore malware per operazioni di cryptojacking.
Perché le piattaforme di agenti AI sono bersagli così redditizi?
L’osservazione più netta arriva dalla stessa Sysdig: questa non è la falla di Langflow con il punteggio più alto, ma è quella sfruttata davvero. Il motivo è economico. Un builder visuale come Langflow spinge gli sviluppatori a incollare le credenziali direttamente nella configurazione dei componenti di un flow — una chiave OpenAI o Anthropic qui, una chiave di accesso AWS là, una stringa di connessione al database per il contesto. Ognuno di questi segreti è subito monetizzabile: rivendibile o sfruttabile così com’è, senza sviluppare alcun exploit. Un solo server esposto diventa un jackpot.
La consueta logica della gravità si ribalta. Un CVSS 10 teorico senza una strada semplice verso il guadagno può restare inutilizzato, mentre un’IDOR “solo” alta che consegna chiavi API attive viene automatizzata per prima. Per chi integra l’AI generativa in un prodotto, la conclusione è chiara: gli strumenti con cui si costruiscono le funzionalità AI hanno oggi lo stesso raggio d’impatto di un archivio di segreti in produzione e meritano la stessa diffidenza — isolamento di rete, autenticazione vera e nessun segreto in chiaro dentro un flow.
Perché la patch di Langflow non basta?
Ecco la trappola. Quando si corregge una falla di esecuzione di codice, la patch di solito chiude la porta. Quando si corregge una falla il cui unico scopo era esfiltrare credenziali salvate, l’aggiornamento blocca i furti futuri ma non fa nulla per le chiavi già uscite. Quei segreti OpenAI, AWS e dei database restano validi finché non scadono o non vengono ruotati — quindi un Langflow completamente aggiornato può continuare ad alimentare un attaccante che fa lievitare in silenzio la vostra bolletta dei modelli o si muove nel vostro account cloud.
Serve la disciplina che l’incidente richiede. Dopo l’aggiornamento a una versione corretta, ruotate ogni credenziale che un flow possa aver toccato e considerate compromessa, fino a prova contraria, qualsiasi istanza raggiungibile da internet prima della patch. Poi cercate le tracce: controllate nei log gli elenchi di flow su /api/v1/flows/, le esecuzioni inattese e le connessioni in uscita verso host sconosciuti, e verificate negli audit log dei provider cloud e LLM l’uso delle chiavi trapelate. Portare questi strumenti di sviluppo e orchestrazione sotto monitoraggio continuo e controllo degli accessi è normale igiene cloud e DevOps — e trasforma il prossimo zero-day di uno strumento AI in un incidente contenuto invece che in una violazione.
Cosa significa per i team software negli Stati Uniti e in Europa
Al di là del nome del prodotto restano tre lezioni durature. La prima: i segreti non vanno nelle configurazioni dei flow. I builder AI rendono facilissimo mettere una chiave accanto al componente che la usa, ma questa comodità concentra le credenziali più preziose proprio dove gli attaccanti ora cercano. Spostatele in un secret store gestito, iniettatele a runtime e preferite token di breve durata e con ambito ristretto alle chiavi dei provider a lunga scadenza, così che una fuga abbia un raggio d’impatto più piccolo e limitato nel tempo.
La seconda: gli strumenti AI interni finiscono continuamente su internet. Langflow, notebook, dashboard di database vettoriali e framework per agenti dovrebbero stare dietro autenticazione e controlli di rete, eppure migliaia di server Langflow erano raggiungibili e sfruttabili. Censite ogni strumento AI e dati che usate, mettetelo dietro SSO e una rete privata, e date per scontato che tutto ciò che è esposto venga scansionato in questo momento.
La terza: la compliance segue le chiavi. Una chiave AWS o un segreto di database rubati possono aprire la strada a dati personali, facendo scattare gli obblighi di notifica — 72 ore secondo il GDPR, più un mosaico crescente di scadenze negli Stati americani — e, per le entità finanziarie, rientrano nelle regole europee DORA su incidenti ICT e rischio di terze parti. Se operate nel FinTech o trattate dati personali di cittadini UE, una chiave di un agente trapelata può diventare rapidamente un evento regolatorio: la risposta deve essere legale e tecnica fin dalla prima ora, non un semplice aggiornamento di versione.
Cosa significa per il mercato italiano?
In Italia molte PMI e grandi aziende stanno sperimentando agenti AI con strumenti low-code come Langflow, spesso avviati da un singolo reparto o da un fornitore esterno su una VM cloud e mai entrati nell’inventario dell’IT. Sono proprio questi progetti pilota a rappresentare il rischio maggiore: credenziali per OpenAI, Anthropic o altri provider di modelli incollate nei flow, nessun SSO, istanza pubblica “solo per la demo”. Il primo passo pratico è una ricognizione dello “shadow AI”: chi ha avviato un builder di agenti, dove gira e quali chiavi contiene.
Sul piano normativo, se una chiave trapelata ha consentito l’accesso a dati personali, la violazione va notificata al Garante per la protezione dei dati personali entro 72 ore (art. 33 GDPR). Banche, assicurazioni e istituti di pagamento devono inoltre segnalare gli incidenti ICT gravi secondo DORA, mentre i soggetti che rientrano nella disciplina NIS2, recepita in Italia con il D.Lgs. 138/2024, hanno obblighi di notifica verso il CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale (ACN). Documentate con precisione la cronologia — patch, chiavi revocate, analisi dei log — perché è ciò che autorità e auditor chiederanno.
Cosa fare questa settimana
Ecco la versione operativa. Usate CVE-2026-55255 come occasione per chiudere questa falla specifica e correggere lo schema che rende così costosa qualsiasi fuga da uno strumento AI.
- Applicate subito la patch. Aggiornate Langflow a una versione corretta, in linea con la scadenza CISA del 10 luglio 2026; se non è possibile subito, mettete l’istanza offline.
- Toglietelo da internet. Mettete Langflow e ogni strumento AI o dati dietro SSO e una rete privata — non sono pensati per essere pubblici.
- Ruotate tutti i segreti incorporati. Partite dal presupposto che ogni chiave contenuta in un flow (provider LLM, AWS, database) sia trapelata; rigeneratele e revocate le vecchie.
- Togliete i segreti dai flow. Spostate le credenziali in un secret store gestito, con token di breve durata a privilegio minimo iniettati a runtime.
- Cercate sfruttamenti precedenti. Controllate nei log gli elenchi su
/api/v1/flows/, le esecuzioni di flow inattese e le connessioni in uscita; verificate gli audit log di cloud e provider LLM. - Censite la vostra superficie d’attacco AI. Elencate ogni agente, notebook e strumento di database vettoriale: non si può difendere un asset che si è dimenticato di aver esposto.
Nulla di tutto questo costituisce consulenza legale: gli obblighi precisi dipendono dal settore e dalla giurisdizione. Ma il segnale strategico è evidente: mentre i team portano gli agenti AI in produzione, le piattaforme usate per costruirli sono diventate casseforti di credenziali — e gli attaccanti le trattano esattamente così. Il vantaggio va ai team che tengono i segreti fuori dai flow, gli strumenti lontani da internet e ruotano le chiavi in fretta non appena una fuga è anche solo possibile.
Domande frequenti
Che cos’è CVE-2026-55255 in Langflow?
È un riferimento diretto a oggetto non sicuro (IDOR) cross-tenant, descritto anche come aggiramento dell’autorizzazione tramite chiave controllata dall’utente, in Langflow, il builder open source di agenti AI. Un utente autenticato può eseguire qualsiasi flow di un altro utente fornendone l’ID e accedere così a chiavi LLM, credenziali cloud e segreti dei database che il flow conserva. Ha punteggio CVSS 9.9 e la CISA l’ha aggiunta al catalogo KEV il 7 luglio 2026.
Come viene sfruttata la falla?
Il Threat Research Team di Sysdig ha osservato a fine giugno 2026, prima di qualsiasi proof of concept pubblico, un attore motivato dal profitto che eseguiva un copione automatizzato contro server Langflow esposti. Elencava i flow tramite /api/v1/flows/, riutilizzava gli ID per eseguire i flow di altri tenant grazie all’IDOR e la concatenava con CVE-2026-33017, un’esecuzione di codice remota senza autenticazione, per rubare chiavi LLM e AWS e installare altro malware.
Perché le piattaforme di agenti AI sono bersagli di valore?
Gli strumenti visuali di orchestrazione AI collegano LLM, API e database in flow, e questi flow conservano di solito le credenziali necessarie direttamente nella configurazione dei componenti. Un solo server diventa così una cassaforte di chiavi subito monetizzabili, rivendibili o consumabili in uso LLM. Una falla semplice che espone questi segreti vale quindi, in pratica, più di un bug con punteggio più alto che non lo fa.
Cosa devono fare ora i team che usano Langflow?
Aggiornare subito Langflow a una versione corretta, in linea con la scadenza CISA del 10 luglio 2026, e togliere qualsiasi istanza da internet. Poi ruotare ogni credenziale che un flow possa aver toccato, spostare i segreti in un secret store gestito con credenziali di breve durata e controllare i log alla ricerca di elenchi di flow e connessioni in uscita inattese. Se sono coinvolti dati personali, notificare il Garante entro 72 ore.
Basta applicare la patch a Langflow?
No. Poiché la falla espone le credenziali salvate, ogni chiave contenuta in un flow compromesso può essere già nelle mani di un attaccante e resta utilizzabile finché non viene ruotata. La patch blocca nuovi furti ma non invalida i segreti già trapelati. Considerate potenzialmente compromessa ogni istanza raggiungibile da internet: ruotate tutte le credenziali incorporate e cercate elenchi, esecuzioni di flow e usi di chiavi precedenti.
Fonti
Sysdig — Understanding Langflow CVE-2026-55255, and why higher-CVSS vulnerabilities aren't always the most exploited
CISA — Adds Known Exploited Vulnerabilities to Catalog (7 July 2026)
SecurityWeek — CISA Urges Immediate Patching of Exploited ColdFusion, Langflow, Joomla Flaws
Help Net Security — Attackers using Langflow flaw for credential harvesting (CVE-2026-55255)