LangGraph, Langflow e LangChain: tre framework AI con le stesse vulnerabilità (e sono già sotto attacco)
Tre dei framework AI agent più usati hanno trasformato bug classici in porte d’accesso per attaccanti. LangGraph ha una SQL injection che diventa esecuzione di codice remoto (RCE). Langflow ha un path traversal già sfruttato in attacchi reali su migliaia di server. LangChain-core ha una vulnerabilità che permette di leggere chiavi API e segreti dal disco.
Il punto comune? Niente di esotico. Sono SQL injection, path traversal e deserializzazione non sicura — bug vecchi, ma in infrastruttura nuova dove nessuno si aspettava di trovarli.
LangGraph: dalla SQL injection a una shell Python
Il framework, usato per dare memoria agli agenti AI, ha superato 50 milioni di download mensili. Yarden Porat di Check Point Research ha trovato tre vulnerabilità nel livello di persistenza (checkpointer).
CVE-2025-67644 (CVSS 7.3) è una SQL injection nel checkpointer SQLite: il costrutto WHERE per le ricerche non parametrizza l’input. Un attaccante che controlla il filtro può scrivere righe nella tabella dei checkpoint.
CVE-2026-28277 (CVSS 6.8) sfrutta il decoder msgpack, che ricostruisce oggetti Python e può chiamare funzioni arbitrarie (os.system inclusa). La SQL injection dà accesso in scrittura, il decoder esegue il codice. CVE-2026-27022 fa lo stesso via Redis.
Non c’è sfruttamento in natura confermato, ma il proof-of-concept è pubblico. Le patch sono su: langgraph-checkpoint-sqlite 3.0.1, langgraph 1.0.10, langgraph-checkpoint-redis 1.0.2.
Langflow: una richiesta non autenticata, RCE in pochi passi
CVE-2026-5027 (CVSS 8.8) è un path traversal nell’endpoint POST /api/v2/files. Il filename passato dal form non viene sanitizzato: un attaccante può scrivere un file in qualsiasi percorso, ad esempio un cron job in /etc/cron.d/.
Langflow ha auto-login attivo di default, quindi non servono credenziali. VulnCheck ha confermato lo sfruttamento attivo dal 9 giugno 2025: i loro canarini hanno visto scrittura di file di test su sistemi vittima. Censys ha censito circa 7.000 istanze esposte, la maggior parte in Nord America. La patch è arrivata con la versione 1.9.0 (15 aprile). Tra la patch e i primi attacchi (giugno) sono passati quasi due mesi.
«I nostri Canaries hanno osservato lo sfruttamento di CVE-2026-5027 che sfruttava con successo il path traversal per scrivere file di test su sistemi vittima.» — Caitlin Condon, VulnCheck
LangChain-core: file arbitrari letti via prompt loader
CVE-2026-34070 (CVSS 7.5) è un path traversal nella funzione di caricamento prompt legacy di LangChain-core. La funzione load_prompt() legge un file path da un dict senza verificare traversal o percorsi assoluti. Un attaccante può leggere il file .env con le chiavi OPENAI_API_KEY e ANTHROPIC_API_KEY.
CVE-2025-68664 (CVSS 9.3) è una vulnerabilità di deserializzazione che risolve segreti tramite un oggetto costruito ad arte. Le patch: langchain-core 1.2.22 e 0.3.86 per la prima, 1.2.5 e 0.3.81 per la seconda. Vanno applicate entrambe.
Perché gli strumenti di sicurezza non vedono il problema
Merritt Baer, CSO di Enkrypt AI, lo spiega in modo diretto: l’attacco non viene percepito come rischio AI. «I CISO vivranno l’in sicurezza di MCP non in astratto, ma quando un dipendente incolla dati sensibili in uno strumento, o quando un attaccante trova un server MCP non autenticato nel tuo cloud. Non sentirà ‘rischio AI’, ma un fallimento del programma di sicurezza tradizionale.»
Il WAF non vede un decoder msgpack tre livelli sotto. L’EDR vede le stesse system call del normale. Il framework stesso è il confine non protetto.
Baer aggiunge: «MCP sta spedendo lo stesso errore visto in ogni rollout di protocollo: impostazioni di default insicure. Se non costruiamo autenticazione e minimi privilegi dal giorno zero, puliremo le violazioni per il prossimo decennio.»
