A entrada surgiu às 15:12 UTC

A CISA publicou a versão 2026.07.21 do seu catálogo de vulnerabilidades exploradas conhecidas às 15:12:01 UTC de 21 de julho de 2026, e a CVE-2026-0770 constava dela. A agência descreve a falha por palavras suas: "Langflow contains an inclusion of functionality from untrusted control sphere vulnerability that allows remote attackers to execute arbitrary code on affected installations." O prazo para as agências federais dos Estados Unidos termina a 24 de julho de 2026, três dias depois da inclusão, ao abrigo da Binding Operational Directive BOD 26-04, "Prioritizing Security Updates Based on Risk".

A forma técnica explica o prazo. As bases de dados de vulnerabilidades fixam a pontuação em CVSS 9.8, o defeito está em validate_code(), que passa exec_globals a uma chamada exec() sem isolamento, o processo afetado corre como root e o ponto de entrada não exige qualquer autenticação. As versões 1.4.2 a 1.7.3 estão afetadas e o projeto Langflow entregou a correção na 1.9.0. A CISA classifica a fraqueza como CWE-829 e regista a utilização conhecida por campanhas de ransomware como desconhecida.

Quatro semanas de instâncias alcançáveis

A exposição antecede a inclusão em quase um mês. Os registos de vulnerabilidades assinalam tentativas de exploração contra esta falha desde 27 de junho de 2026 e, numa janela de trinta dias, contaram 201 tentativas a partir de 61 endereços IP distintos. A entrada no catálogo seguiu-se a 21 de julho.

Convém ler esses números pelo que são. São telemetria de varrimento e de exploração e não uma contagem confirmada de empresas comprometidas, e a CISA continua a registar a utilização por ransomware como desconhecida. O que demonstram é que o espaço de endereços esteve semanas a ser varrido enquanto a maioria dos proprietários nunca tinha ouvido o nome do produto.

Isso muda o significado de uma descoberta. Se alguém na sua empresa encontrar uma instância de Langflow esta semana, a hipótese prudente é que esteve alcançável durante aquelas quatro semanas, pelo que o trabalho inclui os registos de processo, as ligações de saída e todas as credenciais que a instância guardava. Atualizar para a 1.9.0 fecha a porta. Nada diz sobre quem já passou por ela.

Um problema de registo vestido de problema de correção

A correção é a parte fácil. Este tipo de programa não entra pela porta das tecnologias de informação. Os construtores low-code de IA são levantados pelas equipas de marketing, operações e analítica, porque é exatamente para isso que serve o low-code, e ficam numa instância na nuvem com uma credencial da empresa presa a ela.

Nenhuma ficha no registo de ativos, nenhuma linha na CMDB, nenhum agente na máquina. O scanner de vulnerabilidades que teria apanhado a CVE-2026-0770 nunca viu aquele equipamento, pelo que o ciclo de correção em que todos confiam ficou sem matéria. Faça outra pergunta esta semana: quem nesta empresa tem permissão para levantar um servidor, e o que levantou.

A camada de ferramentas dos agentes é a nova superfície de ataque

Esta é a segunda plataforma de construção de agentes de IA a chegar este mês ao catálogo de falhas exploradas no terreno. A camada de ferramentas que monta agentes é mais recente e menos auditada do que as aplicações que orquestra, e corre com mais privilégios do que ambas.

Esse privilégio é o cerne. Um construtor de agentes guarda as credenciais de todos os sistemas que os seus agentes tocam, pelo que root no construtor alcança o CRM, a caixa de correio, o armazém de dados e o sistema de pagamentos que alguém de outro departamento ligou a um fluxo de trabalho. O raio de impacto é a lista de integrações, e fora daquele departamento ninguém a leu.

Vale a pena enunciar dois limites com clareza. O dia 24 de julho é um prazo federal norte-americano e não tem força legal na Europa, e a telemetria citada descreve tráfego de ataque e fica aquém de uma intrusão comprovada. As obrigações NIS2 na União Europeia já colocam o inventário de ativos na mesma secretária, que é onde este assunto acaba de qualquer forma.

Leia a seguir: Esta falha do ColdFusion foi atacada em minutos  |  Um certificado partilhado é o que deixa o Qilin entrar