Обновитесь или отключите. CISA устала напоминать разработчикам о критической дыре в Langflow

Атаки на инструменты для работы с искусственным интеллектом ускоряются — и новый инцидент с Langflow показал, насколько быстро злоумышленники реагируют на публикацию уязвимостей. На этот раз речь идёт о критической проблеме, которую начали использовать буквально через несколько часов после её раскрытия.

Американское агентство по кибербезопасности и защите инфраструктуры (CISA) предупредило об активной эксплуатации уязвимости CVE-2026-33017 в фреймворке Langflow, предназначенном для создания ИИ-агентов. Проблема получила оценку 9,3 из 10 и позволяет удалённо выполнять код, а также создавать публичные рабочие процессы без какой-либо аутентификации. Ведомство добавило баг в каталог известных эксплуатируемых уязвимостей и охарактеризовало его как инъекцию кода.

Команда Sysdig зафиксировала первые атаки уже 19 марта — примерно через 20 часов после публикации уведомления. При этом открытого кода для эксплуатации тогда не существовало. По оценке специалистов, злоумышленники собрали рабочие инструменты прямо на основе описания проблемы. Сначала началось автоматическое сканирование, затем появились Python-скрипты для атак, а спустя сутки злоумышленники уже извлекали конфиденциальные данные, включая файлы .env и базы данных.

Langflow остаётся популярным open source инструментом для визуальной сборки ИИ-процессов. Платформа предлагает интерфейс drag-and-drop для создания цепочек обработки данных и API для их запуска. Широкое распространение в среде разработчиков сделало проект привлекательной целью.

Уязвимость затрагивает версии до 1.8.1 включительно. Атака возможна через один специально сформированный HTTP-запрос, поскольку выполнение процессов не изолировано. Злоумышленник может запустить произвольный Python-код и получить контроль над системой.

Ведомство не связывает текущую активность с операторами программ-вымогателей, однако установило крайний срок до 8 апреля для устранения проблемы в федеральных системах. В случае бездействия организациям предписано отказаться от использования продукта.

Разработчикам и администраторам рекомендуют обновиться до версии 1.9.0 или ограничить доступ к уязвимому компоненту. Дополнительно советуют не публиковать Langflow напрямую в интернете, следить за исходящим трафиком и при подозрениях менять ключи API, учётные данные баз и облачные секреты. Требования формально распространяются на федеральные структуры США, но ориентироваться на них предлагают и частным компаниям.