CVE-2026-33017 : exploitation de Langflow en moins de 20h sans PoC public

🗓️ Contexte

Source : Infosecurity Magazine, article de Phil Muncaster publié le 20 mars 2026, basé sur un blog post de Sysdig. L’article couvre l’exploitation rapide d’une vulnérabilité critique dans le framework open source Langflow.

🔍 Vulnérabilité concernée

• CVE-2026-33017 : vulnérabilité d’exécution de code à distance (RCE) non authentifiée dans Langflow, un framework visuel open source pour la création d’agents IA et de pipelines RAG
• Score CVSS : 9.3
• Exploitation possible via une seule requête HTTP, sans aucune authentification requise
• Permet l’exécution de code Python arbitraire sur les instances Langflow exposées

⚡ Timeline d’exploitation

• 17 mars 2026 : publication de l’advisory CVE
• ~20 heures après : premières activités malveillantes observées sur les honeypots de Sysdig
• Aucun proof-of-concept (PoC) public n’existait au moment de l’exploitation

🎯 Activités malveillantes observées

• Scan automatisé de l’infrastructure depuis 4 adresses IP sources envoyant le même payload (probablement un seul attaquant)
• Déploiement de scripts Python d’exploitation personnalisés via un dropper de stage 2, indiquant un toolkit d’exploitation préparé
• Collecte de credentials : clés de bases de données, clés API, credentials cloud, fichiers de configuration
• Risque de compromission de la chaîne d’approvisionnement logicielle via les accès obtenus

📊 Tendances de compression des délais d’exploitation

• Selon l’initiative Zero Day Clock citée par Sysdig : le temps médian d’exploitation (TTE) est passé de 771 jours en 2018 à quelques heures en 2024
• En 2023, 44% des vulnérabilités exploitées ont été weaponisées dans les 24 heures suivant la divulgation
• 80% des exploits publics apparaissent avant la publication de l’advisory officiel
• Selon Rapid7 : le délai médian entre publication d’une vulnérabilité et son inclusion dans le catalogue KEV de la CISA est passé de 8,5 jours à 5 jours en un an
• Délai médian de déploiement de patches par les organisations : ~20 jours

📰 Nature de l’article

Article de presse spécialisée relayant une publication de recherche de Sysdig, visant à documenter la rapidité d’exploitation d’une vulnérabilité critique et illustrer la compression des délais d’exploitation dans le paysage des menaces actuel.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059.006 — Command and Scripting Interpreter: Python (Execution)
• T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)
• T1552 — Unsecured Credentials (Credential Access)
• T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
• T1195 — Supply Chain Compromise (Initial Access)

IOC

• CVEs : CVE-2026-33017

---

🔗 Source originale : https://www.infosecurity-magazine.com/news/hackers-exploit-critical-langflow/