Threat actors estão explorando duas falhas críticas que afetam Langflow e Ruby on Rails, segundo novas descobertas da VulnCheck.
As vulnerabilidades em questão são as seguintes:
CVE-2026-0768
(pontuação CVSS: 9,8) - Falta de validação adequada de uma entrada fornecida pelo usuário, que pode ser explorada para executar código Python arbitrário no contexto do usuário root.
CVE-2026-66066, também chamada de KindaRails2Shell (pontuação CVSS: 9,5) - Vulnerabilidade que pode permitir que um atacante sem autenticação leia arquivos arbitrários do servidor, vaze o ambiente do processo Rails e segredos como secret_key_base, a chave mestra do Rails, senhas de banco de dados, credenciais de armazenamento em nuvem e tokens de API, o que pode levar à execução remota de código.
Atacantes podem explorar a CVE-2026-66066 ao enviar uma imagem adulterada, aproveitando a discrepância entre o Active Storage e o libvips na forma como ambos leem arquivos de entrada. Para que a exploração tenha sucesso, as aplicações afetadas precisam usar o libvips no processamento de imagens do Active Storage e aceitar uploads de imagens de usuários não confiáveis.
A VulnCheck informou ter registrado mais de 50 detecções em poucas horas, em 30 de agosto de 2026, número que subiu para 360 até segunda-feira.
“Os adversários parecem estar conduzindo uma combinação de reconhecimento e coleta de credenciais. Entre outras coisas, as requisições dos atacantes estão consultando variáveis de ambiente (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), lendo /root/.cache/langflow/secret_key e verificando o acesso a .ssh e o tamanho de .bash_history”, afirmou Caitlin Condon, vice-presidente de pesquisa de ameaças da VulnCheck.
“O tráfego de origem vem principalmente da Rússia e, até o momento, atingiu exclusivamente canários no Reino Unido.”
As tentativas de exploração ocorrem em meio ao uso de até 12 vulnerabilidades desde 2025 por threat actors, com mais de 15.000 tentativas bem-sucedidas aproveitando
CVE-2026-0769
,
CVE-2025-3248
e
CVE-2026-5027
. A maioria dos servidores vulneráveis do Langflow está localizada nos Estados Unidos, Alemanha, Malásia, Brasil e Índia.
Em um caso observado contra seus sistemas canário, threat actors desconhecidos foram flagrados explorando a
CVE-2026-5027
para instalar um coletor de credenciais em Python, agentes de proxy e o SimpleHelp para acesso remoto. Em outro, atacantes transformaram a
CVE-2025-3248
em uma botnet de mineradores de criptomoeda XMR.
“Em seguida, eles desativaram o auditd, criando um ponto cego forense, e exploraram a
CVE-2026-0769
para instalar o .sysd”, disse a VulnCheck. “A partir daí, o atacante mudou de foco para escanear outros alvos, provavelmente para expandir sua operação de mineração de criptomoedas, e partiu para outro servidor.”
As descobertas destacam o interesse crescente de threat actors por plataformas de desenvolvimento de IA, que podem fornecer acesso a credenciais sensíveis, ambientes de nuvem e outros sistemas conectados.
A empresa de inteligência de ameaças também detectou, desde então, exploração ativa da CVE-2026-66066 contra seus canários em Singapura, Israel e no Reino Unido. Em publicação no LinkedIn, o pesquisador de segurança Patrick Garrity afirmou que a atividade se origina de um único endereço IP na França e estabelece command and control (C2) para um host em Israel.
“O Active Storage sempre habilita os carregadores do libvips que não são seguros para conteúdo não confiável, então qualquer aplicação que renderize variantes de imagens com o processador vips padrão pode ser levada a carregar um upload malicioso”, acrescentou a VulnCheck. “Vale destacar que testamos um servidor 8.1.3.1 com patch e constatamos que, embora a correção bloqueie a leitura de arquivos via libvips, ela não neutraliza a desserialização Marshal da variation-key: o gadget de RCE ainda é executado em um servidor corrigido, desde que haja uma assinatura válida.”
No início de agosto, a VulnCheck identificou mais de 7.100 instâncias expostas e vulneráveis de Ruby on Rails.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...