Langflow, Broadcom e NGINX: tre falle espongono AI, router e server

🛡️ Executive Summary

• Langflow espone gli ambienti AI all’esecuzione di codice e all’escalation dei privilegi attraverso componenti Python non adeguatamente isolati. La vulnerabilità CVE-2026-10561 è corretta dalla versione 1.10.1, con ulteriori protezioni nelle release successive.
• Broadcom presenta una vulnerabilità Wi-Fi risalente almeno al 2010, sfruttabile senza password da un attaccante nel raggio radio del router. Il ricercatore non ha rilevato correzioni distribuite sui dispositivi testati.
• F5 pubblica aggiornamenti straordinari per NGINX, correggendo vulnerabilità che possono provocare crash e, in particolari configurazioni, consentire l’esecuzione di codice.

Tre vulnerabilità mettono sotto pressione infrastrutture differenti ma ugualmente critiche per la sicurezza digitale: le piattaforme per sviluppare agenti di intelligenza artificiale, i router Wi-Fi utilizzati nelle reti domestiche e aziendali e i server web esposti a Internet. Il 19 ottobre 2026 emergono nuovi dettagli sui problemi di Langflow, Broadcom e NGINX, con conseguenze che comprendono esecuzione remota di codice, escalation dei privilegi e interruzione dei servizi. I casi non appartengono alla stessa campagna e non risultano collegati tra loro. La differenza principale riguarda lo stato delle contromisure: Langflow dispone di aggiornamenti correttivi, F5 ha pubblicato patch straordinarie, mentre numerosi router basati sul software Broadcom rimangono vulnerabili nonostante il problema sia conosciuto da anni. Il rischio aumenta quando i sistemi vengono utilizzati come infrastrutture condivise e una singola compromissione consente di raggiungere ulteriori componenti della rete.

Langflow permette l’esecuzione di codice Python con i privilegi del servizio

La vulnerabilità CVE-2026-10561, classificata critica con un punteggio CVSS 9,9, interessa i componenti PythonREPLComponent e PythonREPLToolComponent di Langflow, piattaforma open source utilizzata per costruire workflow e applicazioni basate su modelli AI. La documentazione ufficiale della vulnerabilità chiarisce che, nelle versioni precedenti alla 1.10.1, i componenti eseguivano codice Python fornito dagli utenti o generato dai modelli senza un isolamento effettivo rispetto al processo principale. Un utente autenticato autorizzato a modificare ed eseguire un flow poteva quindi ottenere esecuzione di codice sul server e, in determinate condizioni, elevare i propri privilegi fino al controllo amministrativo dell’applicazione. Il difetto non equivale a un accesso remoto anonimo in ogni configurazione: richiede capacità operative sul flow, ma diventa particolarmente pericoloso quando l’istanza è condivisa tra più utenti o esposta attraverso funzionalità che accettano contenuti non fidati. Langflow ha corretto il problema nella versione 1.10.1, introducendo controlli sulle funzionalità di interpretazione, successivamente rafforzati fino alla 1.12.3. Il progetto raccomanda di disabilitare gli interpreti negli ambienti che non ne hanno bisogno e di utilizzare meccanismi di isolamento dedicati quando l’esecuzione di codice non attendibile è necessaria.

Il caso si inserisce in un problema già emerso con le vulnerabilità dei server Git MCP di Anthropic, dove l’integrazione degli agenti con strumenti esterni aveva ampliato le possibilità di accesso ai file e di esecuzione di operazioni sensibili. Per Langflow esiste anche una vulnerabilità distinta, CVE-2026-105697, relativa ai comandi utilizzati dal trasporto MCP stdio, corretta nella versione 1.10.3. I due difetti non devono essere confusi: uno riguarda l’interprete Python, l’altro la configurazione dei processi eseguiti dai server MCP. Il problema comune è l’assenza di una separazione sufficientemente rigorosa tra ciò che un agente può richiedere e ciò che il server è autorizzato a eseguire.

Leggi anche: Anthropic rafforza la sicurezza degli agenti AI e le regole per Claude

Broadcom, un bug Wi-Fi vecchio di 16 anni consente accesso root senza password

Il secondo caso è più delicato perché riguarda dispositivi che potrebbero non ricevere mai una correzione. Il ricercatore Quentin Kaiser ha presentato il 16 ottobre, durante la conferenza Hexacon di Parigi, una vulnerabilità nell’implementazione proprietaria Broadcom del protocollo Wi-Fi Protected Setup. Nella ricerca originale pubblicata da Kaiser viene documentato un problema nella ricostruzione dei messaggi WPS frammentati, capace di provocare corruzione della memoria e consentire la lettura di informazioni riservate o l’esecuzione arbitraria di codice. L’attaccante deve trovarsi nel raggio radio del dispositivo, ma non ha bisogno di conoscere la password Wi-Fi né di completare il processo di associazione alla rete. Kaiser ha dimostrato l’impatto su gateway distribuiti da Proximus, Orange Belgium e VOO: su un router ASKEY TCG3000 ha recuperato la password wireless, mentre su un modello BBOX3V+ ha ottenuto una shell remota attraverso frame Wi-Fi.

La vulnerabilità risale almeno al 2010 e interessa due gruppi di piattaforme Broadcom. I chipset BCM3380, BCM3383 e BCM33834, basati su eCos, non dispongono secondo il ricercatore di una soluzione utilizzabile sui dispositivi interessati; i modelli Linux BCM3390, BCM65xx e BCM68xx potrebbero invece essere corretti attraverso modifiche al software wireless distribuite dai produttori. Kaiser riferisce che Broadcom conosceva il problema dal 2018 e che una correzione incompleta era già stata realizzata, senza eliminare la vulnerabilità nei dispositivi successivamente verificati. Al 15 ottobre i gateway testati non risultavano aggiornati e non era stato assegnato alcun CVE. Broadcom avrebbe comunicato al ricercatore la disponibilità di una patch per i produttori, ma ciò non dimostra che gli aggiornamenti siano stati distribuiti agli utenti finali. Non risultano prove pubbliche di sfruttamento criminale, mentre i milioni di dispositivi potenzialmente interessati rappresentano una stima della superficie esposta, non un conteggio di sistemi verificati individualmente.

La gravità del problema sta nella persistenza dei dispositivi vulnerabili all’interno delle reti: un router può continuare a funzionare per anni, anche quando il relativo software non viene più mantenuto. In assenza di firmware correttivi, la sostituzione dei modelli non supportati diventa una misura di sicurezza concreta, soprattutto nelle sedi aziendali e nelle infrastrutture nelle quali l’accesso fisico alla rete wireless non può essere controllato completamente.

F5 corregge NGINX: buffer overflow e use-after-free nei worker

Il terzo fronte riguarda NGINX, uno dei componenti più diffusi nelle infrastrutture web e nei sistemi di distribuzione delle applicazioni. F5 ha pubblicato aggiornamenti straordinari per correggere diverse vulnerabilità, tra cui CVE-2026-15176, CVE-2026-93479 e CVE-2026-97205, associate a problemi di gestione della memoria. Secondo gli advisory ufficiali NGINX, le condizioni di sfruttamento variano in funzione dei moduli e delle direttive utilizzate: alcune configurazioni possono provocare un buffer overflow, mentre altre espongono a condizioni di use-after-free nei processi worker. L’impatto più immediato consiste nell’interruzione del servizio attraverso crash e riavvii; l’esecuzione di codice richiede condizioni aggiuntive, tra cui l’assenza o il superamento delle protezioni Address Space Layout Randomization. Non è quindi corretto descrivere tutte le installazioni NGINX come automaticamente esposte a una RCE.

Per NGINX Open Source, le versioni 1.30.6 e 1.31.7 correggono i problemi indicati dagli advisory, mentre gli utilizzatori delle distribuzioni commerciali devono applicare gli aggiornamenti specifici previsti da F5. La presenza di NGINX in una configurazione predefinita non implica necessariamente che siano presenti tutte le condizioni richieste per lo sfruttamento. Gli amministratori devono verificare versione, moduli attivi, direttive utilizzate e presenza di pacchetti correttivi eventualmente distribuiti dai manutentori delle rispettive distribuzioni Linux. Il caso ricorda quanto già documentato nell’analisi delle vulnerabilità critiche in servizi e componenti applicativi esposti su Internet: il componente vulnerabile diventa più pericoloso quando rappresenta un punto condiviso di accesso a numerosi servizi, perché la compromissione può incidere sulla disponibilità dell’intera infrastruttura.

Continua con:

Agenti AI e componenti fidati: quando l’automazione amplia la superficie d’attacco

Citrix NetScaler, nuova vulnerabilità RCE sui sistemi SAML

Le patch esistono, ma il vero problema è sapere dove intervenire

I tre casi mostrano una differenza sostanziale tra vulnerabilità correggibili attraverso un aggiornamento software e problemi che persistono perché l’ecosistema dei dispositivi non riceve più manutenzione. Langflow richiede una revisione delle autorizzazioni e dell’esecuzione di codice negli ambienti AI, NGINX impone l’aggiornamento dei server e la verifica delle configurazioni vulnerabili, mentre Broadcom evidenzia i limiti di una filiera nella quale il produttore del chipset, quello del router e l’operatore che lo distribuisce possono avere responsabilità differenti. Per le organizzazioni italiane la priorità è identificare le installazioni effettivamente esposte, evitando sia allarmismi generalizzati sia sottovalutazioni fondate sulla semplice assenza di attacchi pubblicamente documentati. La sicurezza non dipende soltanto dall’esistenza di una patch, ma dalla capacità di individuare il componente vulnerabile, stabilire chi debba correggerlo e verificare che la correzione raggiunga il sistema in produzione.