IBM avisó el 28 de octubre de 2026 de varios fallos en Langflow, la herramienta de código abierto para montar chatbots, agentes y flujos de IA. Dos son críticos (9,8 sobre 10) y no necesitan cuenta. Afectan a las versiones 1.0.0 a 1.12.8 y se corrigen en la 1.13.0. Importa a quien tenga Langflow instalado en su propio servidor.
Lo que se sabe
- El aviso: IBM, que mantiene Langflow, publicó su boletín de seguridad el 28 de octubre y lo actualizó el 29. Las fichas de los CVE las asignó IBM ese mismo 29 de octubre.
- Los dos críticos: según el boletín, CVE-2026-93680 permite a un atacante remoto saltarse restricciones de seguridad por una autenticación incorrecta, y CVE-2026-110186 le permite ejecutar código en el servidor. Los dos tienen una puntuación CVSS de 9,8 y, según la ficha del CVE, no requieren cuenta ni interacción del usuario.
- Los otros dos de Langflow: CVE-2026-110193 (8,8) deja que un usuario con una cuenta de pocos permisos consiga que el asistente agéntico genere código que ejecuta órdenes del sistema; CVE-2026-110192 (6,5) expone información sensible por credenciales mal protegidas. El boletín incluye además tres fallos de Hono, una librería que usa Langflow, corregidos en Hono 4.13.5.
- La solución: IBM pide actualizar a Langflow 1.13.0 y hacer antes una copia de la base de datos, la clave secreta y los archivos subidos. El apartado de mitigaciones dice «None»: no hay ajuste que sustituya a la actualización.
- El inicio de sesión automático: las notas de la versión 1.13.0, publicada el 22 de octubre, incluyen «disable automatic login by default». Según The Hacker News, en la 1.12.8 venía activado y entraba como superusuario.
- Ataques: según The Hacker News, a 30 de octubre ninguno de los dos críticos estaba en el catálogo de vulnerabilidades explotadas de CISA, aunque otras seis de Langflow sí lo están, la última añadida en agosto. El mismo medio cuenta que ya hay un módulo público para Metasploit sobre CVE-2026-93680 que, por ahora, solo enumera herramientas y no ejecuta código.
Qué cambia y qué no
- Cambia para quien tiene Langflow instalado en un servidor propio o en un VPS, sobre todo si su interfaz o su API se alcanzan desde internet: un chatbot de atención al cliente, un agente interno o un flujo que responde preguntas con documentos de la empresa.
- Cambia menos si Langflow solo corre en tu ordenador para hacer pruebas y no escucha en la red. Aun así, conviene actualizar.
- No cambia para quien usa un chatbot de un servicio en la nube que no está construido sobre Langflow, ni para la web en sí: WordPress, Drupal o el hosting no tienen nada que ver con este fallo.
- Lo que está en juego: Langflow suele guardar las claves de los proveedores de IA y de las bases de datos que usan los flujos. Un servidor comprometido puede dejar esas claves a la vista.
Cómo saber si te afecta
- Averigua si tu chatbot o agente usa Langflow. Si lo montó otra persona o una agencia, pregúntale: «¿Está hecho con Langflow? ¿En qué versión y dónde está instalado?».
- Mira la versión. Si se instaló con pip o uv, `pip show langflow` (o `uv pip show langflow`) la muestra. Si corre en Docker, mira la etiqueta de la imagen. Todo lo que esté entre 1.0.0 y 1.12.8 está afectado.
- Comprueba si se alcanza desde internet. Si la dirección de Langflow abre desde fuera de tu oficina o tu casa, la urgencia es máxima. Mientras actualizas, ciérrala con el cortafuegos o déjala solo para direcciones de confianza.
- Actualiza a la 1.13.0 después de copiar la base de datos, la clave secreta y los archivos subidos, como pide IBM. Repasa antes las notas de la versión: cambia el inicio de sesión automático y la forma de guardar las bases de conocimiento locales.
- Tras actualizar, revisa el acceso. Comprueba que el inicio de sesión automático quedó desactivado y que cada usuario entra con su contraseña.
- Si estuvo abierto a internet con una versión afectada, cambia las claves. Genera de nuevo las claves de API de los proveedores de IA y las contraseñas de las bases de datos que guardaba Langflow, y revisa en el panel de esos proveedores si hubo consumo raro.
Relacionado: LiteLLM 1.107.0 con malware: qué hacer con tus claves de IA
Fuentes
- IBM, «Security Bulletin: Langflow OSS is affected by multiple vulnerabilities», 28 de octubre de 2026, actualizado el 29 (en inglés)
- Ficha CVE-2026-110186 en el repositorio de CVEProject (en inglés)
- Langflow, notas de la versión 1.13.0 en GitHub (en inglés)
- The Hacker News, 2 de noviembre de 2026 (en inglés)
Actualizaciones: si se confirma explotación real de estos fallos o IBM cambia la versión corregida, se añadirá aquí con su enlace.