Langflow: 7,000 servidores bajo ataque en 2026

¿Qué está pasando con los servidores Langflow en 2026?

Más de 7,000 instancias de Langflow están bajo ataque activo según reportes de junio de 2026, y la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha añadido la vulnerabilidad crítica CVE-2025-3248 a su catálogo de amenazas explotadas conocidas (KEV). Esto no es una advertencia teórica: hay campañas reales comprometiendo servidores de startups que construyen agentes de IA con estos frameworks.

Si tu startup usa Langflow, LangGraph o LangChain en producción, este artículo te muestra exactamente qué CVEs te afectan, cómo los atacantes están explotando las fallas y los 6 pasos concretos que debes implementar hoy mismo para proteger tu infraestructura.

¿Qué vulnerabilidades específicas están siendo explotadas?

El panorama de seguridad en frameworks de agentes de IA se ha deteriorado rápidamente en 2026. Las investigaciones de Check Point Research y múltiples equipos de ciberseguridad han identificado una cadena de vulnerabilidades críticas que comparten un patrón común: ejecución de código sin autenticación en endpoints expuestos a Internet.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Langflow: Dos CVE críticos con explotación confirmada

La vulnerabilidad más grave es CVE-2025-3248, una falla de ejecución remota de código (RCE) que permite a cualquier atacante tomar control completo del servidor mediante un endpoint de validación de código (/api/v1/validate/code). El problema de diseño: Langflow ejecuta código Python con la función exec() sin sandboxing ni autenticación. Un atacante solo necesita enviar una solicitud HTTP maliciosa para robar claves API, variables de entorno o instalar backdoors persistentes.

Esta vulnerabilidad fue corregida en Langflow 1.3.0 (marzo de 2025), pero la CISA confirmó en mayo de 2025 que ya estaba siendo explotada activamente en el wild. Si tu instancia corre una versión anterior, estás comprometido.

La segunda falla crítica es CVE-2026-21445, publicada en enero de 2026, que afecta a versiones anteriores a Langflow 1.7.0.dev45. Esta vulnerabilidad de ausencia de autenticación permite a usuarios no autorizados acceder a conversaciones sensibles, historiales de transacciones y ejecutar operaciones destructivas como eliminar mensajes. El CVSS v4.0 le asignó una gravedad de 8.8 (ALTA).

LangGraph: Tres CVE encadenables en checkpoints

Check Point Research descubrió en junio de 2026 una cadena de tres vulnerabilidades en LangGraph que afectan específicamente a despliegues autohospedados con backends de persistencia SQLite o Redis:

CVE-2025-67644 (Inyección SQLite): La función get_state_history() contenía una vulnerabilidad de inyección SQL en su parámetro de filtrado. Corregido en langgraph-checkpoint-sqlite versión 3.0.1 o posterior.
CVE-2026-28277 (RCE por deserialización msgpack): El mecanismo de recuperación de checkpoints usa deserialización insegura de msgpack, permitiendo ejecución de código arbitrario cuando un agente restaura su estado. Un atacante que pueda escribir en tu almacenamiento de checkpoints (Redis o Postgres) puede ejecutar código al cargar ese checkpoint. Corregido en langgraph versión 1.0.10 o posterior.
CVE-2026-27022 (Inyección Redis): Permite inyectar comandos Redis arbitrarios mediante manipulación de parámetros de consulta en el backend de checkpoints. Corregido en @langchain/langgraph-checkpoint-redis versión 1.0.2 o posterior.

Lo crítico aquí es el efecto de cadena: un atacante puede combinar la inyección SQLite con la deserialización insegura para convertir una debilidad de aplicación en compromiso total del servidor.

LangChain: Path traversal y riesgos arquitectónicos

En LangChain, la vulnerabilidad CVE-2026-34070 permite path traversal, accediendo a archivos arbitrarios del sistema sin validación adecuada. Pero más allá de los CVE individuales, el riesgo arquitectónico es sistémico: componentes diseñados para máxima flexibilidad (como PythonREPLTool, SQLDatabaseChain, load_prompt) acumulan historial de vulnerabilidades por ejecución de código, inyección SQL y deserialización insegura.

¿Cómo están explotando estas fallas los atacantes?

El patrón de ataque documentado por equipos de inteligencia de amenazas sigue una secuencia predecible pero devastadora:

En Langflow, el atacante escanea Internet buscando instancias expuestas del endpoint /api/v1/validate/code. Al encontrar una, envía una solicitud HTTP con código Python malicioso que se ejecuta inmediatamente mediante exec(). En segundos, el atacante puede:

Leer variables de entorno y robar claves API de OpenAI, Anthropic, bases de datos
Acceder a secretos del servidor (credenciales de AWS, keys de Stripe, tokens de GitHub)
Modificar archivos del sistema o instalar backdoors persistentes
Exfiltrar conversaciones de usuarios y prompts propietarios

En LangGraph, el vector es más sofisticado pero igualmente crítico. El atacante primero explota la inyección SQLite o Redis para manipular los checkpoints guardados. Luego, cuando el agente restaura su estado, la deserialización insegura de msgpack ejecuta el código malicioso incrustado en el checkpoint. Esto convierte una vulnerabilidad de base de datos en ejecución remota de código.

En LangChain, el path traversal permite leer archivos como .env, config.py, o cualquier archivo al que el proceso tenga acceso. Combinado con otras fallas, esto habilita el robo de credenciales y la escalada de privilegios.

¿Qué impacto real tiene esto para tu startup?

Si fundaste una startup de IA en los últimos 24 meses, hay una probabilidad alta de que uses LangChain, LangGraph o Langflow en tu stack. Estos frameworks dominaron el desarrollo de agentes de IA por su flexibilidad y velocidad de prototipado. Pero la velocidad tuvo un costo: seguridad como afterthought.

El impacto empresarial de un incidente de seguridad en tu infraestructura de IA va más allá del downtime técnico:

Pérdida de confianza del cliente: Si tu agente de IA comprometido exfiltra conversaciones de usuarios o datos sensibles, enfrentarás reclamos regulatorios bajo GDPR (Europa) o leyes locales de protección de datos. En España y la UE, las multas pueden alcanzar el 4% de tu facturación anual.

Riesgo de cadena de suministro: Si tu agente comprometido tiene acceso a otros sistemas internos (CRM, bases de datos, APIs de pago), el atacante puede moverse lateralmente y comprometer toda tu infraestructura. Esto es particularmente crítico en startups con equipos pequeños donde un solo servidor corre múltiples servicios.

Costo de remediación: Un incidente de seguridad requiere auditoría forense, notificación a clientes, posible suspensión del servicio y parcheo de emergencia. Para una startup pre-Series A, esto puede significar meses de burn rate sin ingresos.

Ventaja competitiva perdida: Si tu propuesta de valor incluye «seguridad empresarial» o «cumplimiento SOC 2», un incidente de seguridad invalida ese diferenciador frente a competidores.

¿Qué significa esto para tu startup?

La lección más dura para founders hispanohablantes que construyen con IA: la velocidad de lanzamiento no puede superar a la madurez de seguridad. Los frameworks que usaste para validar tu MVP en semanas ahora son tu mayor superficie de ataque en producción.

Aquí tienes 6 acciones concretas que debes implementar esta semana:

1. Actualiza inmediatamente a versiones parcheadas

Langflow: Actualiza a versión 1.9.0 o superior (para CVE-2026-33017) o al menos 1.7.0.dev45 (para CVE-2026-21445). Si estás en 1.3.0 o anterior, estás expuesto a RCE confirmada por CISA.
LangGraph: Actualiza a langgraph 1.0.10 o superior, langgraph-checkpoint-sqlite 3.0.1+, y @langchain/langgraph-checkpoint-redis 1.0.2+.
LangChain: Revisa tu versión contra CVE-2026-34070 y aplica el parche correspondiente.

No pospongas esto para el próximo sprint. Hazlo hoy.

2. Elimina o aísla la ejecución dinámica de código

Si tu aplicación usa exec(), eval(), o componentes que ejecutan código Python dinámico (como PythonREPLTool), tienes tres opciones:

Eliminar: Si no es core de tu producto, quítalo. La mayoría de startups no necesitan ejecución de código arbitrario en producción.
Sandboxing: Si es esencial, usa entornos aislados como Firecracker microVMs, gVisor, o servicios serverless (AWS Lambda, Cloud Run) que limiten el blast radius.
Allowlists estrictas: Define exactamente qué funciones, módulos y operaciones están permitidas. Usa validación con Pydantic para inputs y outputs.

3. No expongas endpoints críticos a Internet

Los endpoints de validación, creación de flows y gestión de checkpoints nunca deben ser accesibles públicamente. Implementa:

Firewall de aplicaciones web (WAF): Filtra cargas de código malicioso y patrones de inyección.
API Gateway con autenticación: Requiere tokens válidos para cualquier operación sensible.
Listas de允许 (allowlists) de IP: Si tu frontend y backend están en redes conocidas, restringe el acceso a esas IPs específicas.
VPC privada: Si despliegas en AWS, GCP o Azure, coloca tus instancias de Langflow/LangGraph en subnets privadas sin IP pública.

4. Valida estrictamente todas las entradas y salidas

Implementa validación de esquemas con Pydantic para todos los inputs de usuario y outputs de agentes. Define allowlists para:

Herramientas que el agente puede invocar
Parámetros aceptables para cada herramienta
Rutas de archivos accesibles (para evitar path traversal)
Consultas SQL permitidas (o usa ORM con parameterized queries)

5. Elimina la deserialización insegura

Si usas pickle, msgpack sin validación, o cualquier formato de serialización que ejecute código al deserializar:

Migra a formatos seguros: JSON, YAML (con loaders seguros), o protobuf.
Firma tus checkpoints: Usa HMAC o firmas digitales para verificar la integridad de los datos antes de deserializar.
Restringe permisos de escritura: Si un atacante no puede escribir en tu backend de checkpoints, la deserialización insegura no se puede explotar.

6. Implementa monitorización y detección de anomalías

Configura alertas para:

Solicitudes HTTP a endpoints de validación o creación de flows desde IPs no conocidas
Patrones de inyección SQL en logs de consultas
Acceso a archivos sensibles (.env, config.py, credenciales)
Ejecución de comandos del sistema desde procesos de Python
Tráfico anómalo en puertos de Redis o SQLite

Usa herramientas como AWS CloudTrail, GCP Cloud Audit Logs, o soluciones de seguridad como Wiz, Lacework para startups en la nube.

¿Hay alternativas más seguras a estos frameworks?

Si estás evaluando tu stack técnico para 2026, considera:

LangSmith Deployment (la plataforma gestionada en la nube de LangChain) usa PostgreSQL y no está afectada por las vulnerabilidades de SQLite/Redis de LangGraph autohospedado.
Frameworks con seguridad por diseño: Evalúa alternativas que prioricen sandboxing desde la arquitectura, no como parche posterior.
Arquitectura de microservicios: Aísla el agente de IA en un servicio separado con permisos mínimos, de modo que un compromiso no afecte tu base de datos principal o sistemas de pago.

La realidad es que ningún framework es 100% seguro, pero algunos tienen mejores prácticas de hardening y respuesta a incidentes más maduras.

Conclusión

Las vulnerabilidades en Langflow, LangGraph y LangChain no son un problema teórico: hay explotación activa confirmada por CISA, miles de instancias comprometidas y un patrón de ataque documentado. Para founders hispanohablantes que construyen startups de IA, la lección es clara: la seguridad debe ser un requisito de lanzamiento, no un parche posterior.

Actualiza hoy, aísla la ejecución de código, restringe el acceso a endpoints críticos y monitoriza tu infraestructura. El costo de prevención es infinitamente menor que el costo de un incidente de seguridad en producción.