IBM parchó cuatro vulnerabilidades en su framework de IA de código abierto, dos con puntuación CVSS 9.8 que exponen sistemas empresariales a toma de control completa
IBM lanzó parches de emergencia para Langflow, su framework de código abierto para construir agentes de IA y sistemas RAG (generación aumentada por recuperación), después de identificar cuatro vulnerabilidades que permiten desde evasión de autenticación hasta ejecución remota de código arbitrario. Dos de las fallas alcanzaron calificación crítica con puntuación CVSS de 9.8, el nivel más alto antes del máximo absoluto. La corrección llega apenas tres meses después de que Langflow fuera explotado en agosto para robar credenciales de desarrolladores, lo que confirma que el framework ya está en el radar de atacantes activos. Las versiones afectadas van desde la 1.0.0 hasta la 1.12.8, y la remediación completa requiere actualizar a la versión 1.13.0 recién publicada.
Cómo una remediación incompleta abrió la puerta a evasión de autenticación
La vulnerabilidad CVE-2026-93680, una de las dos críticas, deriva de un parche mal implementado para un problema anterior de auto-login. Investigadores de seguridad descubrieron que la corrección original no cerró completamente el vector de ataque, dejando una ruta alternativa que permite a atacantes remotos eludir las restricciones de seguridad y acceder a funciones que normalmente requieren autenticación válida. Este tipo de falla — conocida como remediación incompleta — es particularmente peligrosa porque genera una falsa sensación de seguridad: los equipos de desarrollo asumen que el problema está resuelto cuando en realidad solo se movió de lugar.
La segunda vulnerabilidad crítica, CVE-2026-110186, permite ejecución remota de código sin necesidad de credenciales previas. El vector de ataque explota la enumeración de herramientas del Protocolo de Contexto de Modelo (MCP), un componente que Langflow usa para integrar modelos de lenguaje con fuentes de datos externas. Un atacante no autenticado puede enviar solicitudes especialmente diseñadas que fuerzan al servidor a ejecutar código arbitrario, lo que en la práctica equivale a toma de control completa del sistema afectado.
Dos fallas adicionales que requieren acceso previo pero amplían el impacto
La tercera vulnerabilidad, CVE-2026-110193, tiene calificación de alta severidad y también permite ejecución de código en el servidor, pero con una diferencia clave: requiere autenticación con una cuenta de bajo privilegio. El problema reside en una librería de terceros utilizada por el Asistente Agéntico de Langflow, lo que ilustra un patrón recurrente en seguridad de software moderno: las dependencias externas heredan sus propias vulnerabilidades a toda la cadena de suministro. Un atacante que ya tenga acceso limitado al sistema puede escalar privilegios explotando esta falla para ejecutar comandos con permisos superiores.
La cuarta vulnerabilidad, CVE-2026-110192, es un problema de divulgación de información con puntuación CVSS de 6.5. Las credenciales de API no están suficientemente protegidas, lo que permite a atacantes con acceso al sistema extraer claves que luego pueden usarse para comprometer servicios externos conectados al workflow de IA. IBM también parchó tres vulnerabilidades de severidad media en Hono, el framework de desarrollo de API que Langflow usa internamente para enrutamiento de solicitudes y tareas de servidor web backend, recomendando actualizar a la versión 4.13.5.
Por qué frameworks de IA sin código se vuelven blancos prioritarios en la región
Langflow es popular en entornos empresariales precisamente porque ofrece una interfaz visual que no requiere conocimientos de programación para crear workflows de IA y agentes conversacionales. Esa misma característica — democratización del acceso a herramientas de IA — lo convierte en un blanco atractivo: organizaciones en México, Brasil, Argentina y Chile que adoptaron Langflow para acelerar proyectos de automatización inteligente sin equipos de desarrollo especializados ahora enfrentan una superficie de ataque ampliada. La dependencia de frameworks de código abierto sin revisión de seguridad interna es particularmente alta en sectores financieros y de salud de la región, donde la presión por implementar IA generativa rápidamente choca con capacidades limitadas de auditoría de código.
El hecho de que Langflow ya haya sido explotado en agosto para robar credenciales de desarrolladores confirma que no se trata de un riesgo teórico. Atacantes activos conocen el framework, han mapeado sus debilidades y están monitoreando instalaciones expuestas. Para organizaciones latinoamericanas que usan Langflow en producción — especialmente aquellas que lo desplegaron como contenedor Docker sin configuración de seguridad adicional — la ventana de exposición entre el anuncio de las vulnerabilidades y la aplicación de parches es crítica.
Nuestro análisis
Este caso revela un patrón que ya vimos en incidentes anteriores con frameworks de IA de código abierto: la velocidad de adopción supera ampliamente la madurez de los controles de seguridad. Langflow pasó de ser un proyecto comunitario a propiedad de IBM, pero la transición no eliminó las deudas técnicas heredadas — la vulnerabilidad CVE-2026-93680 es evidencia directa de que un parche anterior no fue validado con suficiente rigor. La combinación de ejecución remota de código sin autenticación (CVE-2026-110186) con evasión de controles de acceso (CVE-2026-93680) crea un escenario de explotación en cadena: un atacante puede entrar sin credenciales y luego moverse lateralmente usando la segunda falla.
Lo que todavía no sabemos es cuántas instalaciones de Langflow están expuestas a internet sin capas adicionales de protección. IBM recomienda respaldar la base de datos, la clave secreta y los archivos cargados antes de actualizar, lo que sugiere que el proceso de migración a la versión 1.13.0 no es trivial y podría generar resistencia en equipos con recursos limitados. La pregunta que queda abierta es si las organizaciones que adoptaron Langflow por su simplicidad tienen la capacidad operativa para aplicar parches complejos antes de que aparezcan exploits públicos — y qué pasará con aquellas que no la tienen.