Posten landade klockan 15:12 UTC

CISA publicerade version 2026.07.21 av sin katalog över kända utnyttjade sårbarheter klockan 15:12:01 UTC den 21 juli 2026, och CVE-2026-0770 fanns med. Myndigheten beskriver bristen med egna ord: "Langflow contains an inclusion of functionality from untrusted control sphere vulnerability that allows remote attackers to execute arbitrary code on affected installations." Fristen för amerikanska federala myndigheter löper ut den 24 juli 2026, tre dagar efter upptagningen, enligt Binding Operational Directive BOD 26-04, "Prioritizing Security Updates Based on Risk".

Den tekniska formen förklarar fristen. Sårbarhetsdatabaser sätter poängen till CVSS 9.8, felet sitter i validate_code(), som skickar exec_globals till ett exec()-anrop utan sandlåda, den berörda processen kör som root och slutpunkten kräver ingen autentisering. Versionerna 1.4.2 till och med 1.7.3 är drabbade och Langflow-projektet levererade rättelsen i 1.9.0. CISA för svagheten som CWE-829 och noterar känd användning i ransomwarekampanjer som okänd.

Fyra veckor med nåbara instanser

Exponeringen ligger nästan en månad före upptagningen. Sårbarhetsdatabaser registrerar utnyttjandeförsök mot bristen från den 27 juni 2026, och över ett fönster på trettio dagar räknade de 201 försök från 61 unika IP-adresser. Katalogposten följde den 21 juli.

Läs siffrorna för vad de är. Det är telemetri från skanning och utnyttjandeförsök och ingen bekräftad räkning av drabbade företag, och CISA noterar fortfarande ransomwareanvändning som okänd. Vad de däremot visar är att adressrymden genomsöktes i veckor medan de flesta ägare aldrig hade hört produktnamnet.

Det ändrar vad ett fynd betyder. Hittar någon i företaget en Langflow-instans den här veckan är det säkra antagandet att den var nåbar under de fyra veckorna, så arbetet omfattar processloggar, utgående anslutningar och varje inloggningsuppgift instansen höll. Uppgradering till 1.9.0 stänger dörren. Den säger ingenting om vem som redan gick igenom.

Ett inventarieproblem i patchproblemets kläder

Patchen är den enkla delen. Den här sortens programvara kommer inte in genom it-avdelningen. Low-code-byggare för AI sätts upp av marknad, drift och analys, för det är precis vad low-code är till för, och de hamnar på en molninstans med ett företagskonto hängande i sig.

Ingen rad i tillgångsregistret, ingen rad i CMDB, ingen agent på värden. Sårbarhetsskannern som skulle ha fångat CVE-2026-0770 såg aldrig maskinen, så den patchcykel alla litar på hade ingenting att arbeta med. Ställ en annan fråga den här veckan: vem i det här företaget får starta en server, och vad har den personen startat.

Verktygslagret runt agenterna är den nya angreppsytan

Det här är den andra plattformen för att bygga AI-agenter som den här månaden hamnar i katalogen över sårbarheter utnyttjade i praktiken. Verktygslagret som sätter ihop agenter är yngre och mindre granskat än de tillämpningar det dirigerar, och det kör med högre behörighet än båda.

Den behörigheten är hela poängen. En agentbyggare håller inloggningsuppgifterna till varje system som dess agenter rör, så root på byggaren når CRM, brevlådan, datalagret och betalsystemet som någon på en annan avdelning kopplade in i ett flöde. Radien är listan över integrationer, och utanför den avdelningen har ingen läst den.

Två begränsningar bör sägas rent ut. Den 24 juli är en amerikansk federal frist och har ingen rättsverkan i Europa, och den nämnda telemetrin beskriver angreppstrafik och räcker inte till ett bekräftat intrång. NIS2-skyldigheterna i EU lägger redan tillgångsinventeringen på samma skrivbord, och där slutar den här historien ändå.

Läs vidare: Detta ColdFusion-fel angreps inom minuter  |  Ett delat certifikat är det som släpper in Qilin