La voce è comparsa alle 15:12 UTC

La CISA ha pubblicato la versione 2026.07.21 del suo catalogo delle vulnerabilità sfruttate note alle 15:12:01 UTC del 21 luglio 2026, e CVE-2026-0770 era già dentro. L'agenzia descrive la falla con parole sue: "Langflow contains an inclusion of functionality from untrusted control sphere vulnerability that allows remote attackers to execute arbitrary code on affected installations." La scadenza per le agenzie federali statunitensi cade il 24 luglio 2026, tre giorni dopo l'inserimento, ai sensi della Binding Operational Directive BOD 26-04, "Prioritizing Security Updates Based on Risk".

La forma tecnica spiega la scadenza. I database delle vulnerabilità fissano il punteggio a CVSS 9.8, il difetto sta in validate_code(), che passa exec_globals a una chiamata exec() priva di isolamento, il processo interessato gira come root e l'endpoint non richiede alcuna autenticazione. Le versioni dalla 1.4.2 alla 1.7.3 sono interessate e il progetto Langflow ha rilasciato la correzione nella 1.9.0. La CISA classifica la debolezza come CWE-829 e registra l'uso noto da parte di campagne ransomware come sconosciuto.

Quattro settimane di istanze raggiungibili

L'esposizione precede l'inserimento di quasi un mese. I registri delle vulnerabilità segnalano tentativi di sfruttamento contro questa falla dal 27 giugno 2026, e in una finestra di trenta giorni ne hanno contati 201 da 61 indirizzi IP distinti. La voce in catalogo è seguita il 21 luglio.

Quei numeri vanno letti per quello che sono. Sono telemetria di scansione e sfruttamento e non un conteggio confermato di aziende violate, e la CISA continua a registrare l'uso ransomware come sconosciuto. Ciò che dimostrano è che lo spazio di indirizzi è stato setacciato per settimane mentre la maggior parte degli imprenditori non aveva mai sentito il nome del prodotto.

Questo cambia il significato di un ritrovamento. Se qualcuno in azienda trova un'istanza Langflow questa settimana, l'ipotesi prudente è che sia stata raggiungibile per quelle quattro settimane, perciò il lavoro comprende i log di processo, le connessioni in uscita e ogni credenziale custodita nell'istanza. Aggiornare alla 1.9.0 chiude la porta. Non dice nulla su chi ci è già passato.

Un problema di inventario travestito da problema di patch

La patch è la parte facile. Questa categoria di software non entra passando dall'IT. I costruttori low-code per l'IA li accendono marketing, operations e analytics, perché il low-code serve esattamente a questo, e finiscono su un'istanza cloud con appesa una credenziale aziendale.

Nessuna riga nel registro dei beni, nessuna riga nella CMDB, nessun agente sull'host. Lo scanner delle vulnerabilità che avrebbe intercettato CVE-2026-0770 quella macchina non l'ha mai vista, quindi il ciclo di patch di cui tutti si fidano è rimasto senza materiale. Questa settimana ponetevi un'altra domanda: chi in questa azienda ha il permesso di accendere un server, e che cosa ha acceso.

Lo strato di strumenti attorno agli agenti è la nuova superficie d'attacco

È la seconda piattaforma per costruire agenti di IA che entra questo mese nel catalogo delle falle sfruttate sul campo. Lo strato di strumenti che assembla gli agenti è più giovane e meno verificato delle applicazioni che orchestra, e gira con più privilegi di entrambe.

Quel privilegio è il punto. Un costruttore di agenti custodisce le credenziali di ogni sistema che i suoi agenti toccano, quindi root sul costruttore arriva al CRM, alla casella di posta, al data warehouse e al sistema di pagamento che qualcuno di un altro reparto ha cablato dentro un flusso. Il raggio d'azione è l'elenco delle integrazioni, e fuori da quel reparto nessuno lo ha letto.

Due limiti vanno detti con chiarezza. Il 24 luglio è una scadenza federale statunitense e in Europa non ha alcun valore giuridico, e la telemetria citata descrive traffico di attacco e si ferma prima di una compromissione accertata. Gli obblighi NIS2 nell'Unione Europea mettono già l'inventario dei beni sulla stessa scrivania, che è poi il punto in cui questa vicenda va a finire.

Da leggere ora: Questa falla di ColdFusion è stata attaccata in minuti  |  Un certificato condiviso è ciò che fa entrare Qilin