A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, adicionou na quinta-feira duas falhas de segurança que afetam o Langflow e o Trend Micro Apex One ao catálogo Known Exploited Vulnerabilities, o KEV, citando evidências de exploração ativa.
As vulnerabilidades listadas são as seguintes:
CVE-2025-34291
, com pontuação CVSS de 9,4, é uma falha de validação de origem no Langflow que pode permitir que um atacante execute código arbitrário e obtenha comprometimento total do sistema.
CVE-2026-34926
, com pontuação CVSS de 6,7, é uma vulnerabilidade de travessia de diretório em versões locais do Trend Micro Apex One que pode permitir a um atacante local pré-autenticado modificar uma tabela crítica no servidor para injetar código malicioso e distribuí-lo aos agentes nas instalações afetadas.
Em um relatório publicado em dezembro de 2025, a Obsidian Security afirmou que a
CVE-2025-34291
explora três fraquezas combinadas: CORS excessivamente permissivo, ausência de proteção contra CSRF e um endpoint que, por projeto, permite execução de código.
“O impacto é grave: a exploração bem-sucedida não apenas compromete a instância do Langflow, como também expõe todos os tokens de acesso e chaves de API sensíveis armazenados no espaço de trabalho”, informou a empresa na época.
“Isso pode desencadear um comprometimento em cadeia em todos os serviços downstream integrados em ambientes cloud e SaaS.”
Em um relatório publicado em março de 2026, a Ctrl-Alt-Intel disse que a falha havia sido explorada pelo grupo de hackers iraniano MuddyWater para obter acesso inicial às redes-alvo.
No caso da
CVE-2026-34926
, a Trend Micro afirmou que observou ao menos uma tentativa de exploração ativa dessa vulnerabilidade em ambiente real.
“A vulnerabilidade só pode ser explorada na versão local do Apex One, e um possível atacante precisa ter acesso ao Apex One Server e já ter obtido credenciais administrativas no servidor por algum outro método para explorá-la”, acrescentou.
Diante da exploração ativa, as agências da Federal Civilian Executive Branch, a FCEB, precisam aplicar as correções necessárias até 4 de junho de 2026 para proteger suas redes.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...