Actores de amenazas están explotando activamente dos vulnerabilidades críticas que afectan a las plataformas Langflow y Ruby on Rails. Estos ataques se enfocan en la recolección de credenciales y el establecimiento de canales de comando y control (C2), representando un riesgo significativo para las organizaciones que utilizan estas tecnologías en sus aplicaciones y servicios.
Las vulnerabilidades en cuestión incluyen CVE-2026-0768 (CVSS: 9.8), presente en Langflow, que permite la ejecución de código Python arbitrario con privilegios de root debido a una validación inadecuada de entradas de usuario. La segunda, CVE-2026-66066 (CVSS: 9.5), también conocida como KindaRails2Shell, afecta a Ruby on Rails y permite a un atacante no autenticado leer archivos arbitrarios del servidor, acceder a variables de entorno y secretos como claves maestras de Rails, contraseñas de bases de datos y credenciales de almacenamiento en la nube, lo que finalmente lleva a la ejecución remota de código (RCE). Esta última se explota subiendo una imagen manipulada que aprovecha una discrepancia en el manejo de archivos entre Active Storage y libvips.
VulnCheck ha registrado más de 360 detecciones de explotación en pocos días, con actividad originada principalmente en Rusia y Francia. Los atacantes están realizando reconocimiento y recolección de credenciales, consultando variables de entorno sensibles (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*) y archivos críticos. Estos nuevos ataques se suman a una serie de explotaciones de Langflow detectadas desde 2025, incluyendo CVE-2026-0769, CVE-2025-3248 y CVE-2026-5027, que han sido utilizadas para desplegar recolectores de credenciales, agentes proxy, herramientas de acceso remoto y botnets de minería de criptomonedas, a menudo desactivando sistemas de auditoría para evadir la detección. La mayoría de los hosts Langflow vulnerables se encuentran en EE. UU., Alemania, Malasia, Brasil e India, destacando el creciente interés de los ciberdelincuentes en plataformas de desarrollo de IA.
Es crucial que las organizaciones identifiquen y parchen sus instancias de Langflow y Ruby on Rails. Aunque existen parches para versiones como la 8.1.3.1 de Rails, se ha detectado que la vulnerabilidad de deserialización de Marshal, que conduce a RCE, puede persistir incluso en servidores parcheados si se firma de forma válida. Esto subraya la necesidad de una revisión exhaustiva de las configuraciones y una gestión de seguridad robusta, especialmente en aplicaciones que aceptan cargas de imágenes de usuarios no confiables y utilizan Active Storage con libvips. Con más de 7.100 instancias de Ruby on Rails expuestas y vulnerables identificadas, la prioridad debe ser la aplicación urgente de parches y la implementación de medidas de seguridad adicionales.
Qué significa para tu empresa: La explotación activa de estas vulnerabilidades subraya la necesidad de proteger las aplicaciones web de manera proactiva. Un WAF para aplicaciones (Web Application Firewall) es fundamental para detectar y bloquear intentos de explotación a nivel de la capa de aplicación, incluso antes de que lleguen al servidor, brindando una defensa crucial contra ataques de ejecución de código remoto y filtración de información sensible.
Fuente original: The Hacker News — ver artículo →