Langflow e Microsoft Teams, doppio allarme sicurezza: server AI vulnerabili e certificati di dominio compromessi

🛡️ Executive Summary

Due nuovi allarmi di cybersecurity mettono in evidenza una debolezza comune nelle infrastrutture digitali: la possibilità che un accesso non sufficientemente controllato si trasformi nella compromissione di sistemi e identità privilegiate. Da una parte Langflow, piattaforma open source per lo sviluppo di agenti AI, presenta due vulnerabilità critiche che possono consentire a un attaccante privo di credenziali di aggirare l’autenticazione o eseguire codice remoto. Dall’altra Microsoft ha ricostruito due intrusioni nelle quali falsi tecnici informatici, attraverso Teams e Quick Assist, hanno raggiunto i servizi di certificazione di Active Directory. Gli episodi sono indipendenti e non appartengono a una stessa campagna, ma raccontano un problema che riguarda direttamente anche le aziende italiane: la sicurezza dipende sempre più dalla capacità di verificare chi può utilizzare uno strumento e quali privilegi può ottenere.

Langflow espone i server AI a due vulnerabilità critiche senza autenticazione

Il primo allarme arriva dal bollettino di sicurezza pubblicato da IBM il 28 ottobre 2026, aggiornato il giorno successivo, che identifica quattro vulnerabilità in Langflow e indica nella versione 1.13.0 la correzione necessaria per le installazioni comprese tra la 1.0.0 e la 1.12.8. Le due falle più gravi sono CVE-2026-93680 e CVE-2026-110186, entrambe classificate con un punteggio CVSS di 9,8. La prima riguarda un’autenticazione impropria che può permettere di aggirare le restrizioni di sicurezza; la seconda interessa il controllo della generazione di codice e può consentire l’esecuzione di istruzioni arbitrarie sul server. La gravità deriva dal fatto che entrambe possono essere sfruttate senza disporre preventivamente di un account autorizzato. IBM segnala inoltre CVE-2026-110193, con punteggio 8,8, che permette a un utente autenticato con privilegi limitati di indurre l’Agentic Assistant a generare o inviare codice capace di eseguire comandi sul sistema operativo, e CVE-2026-110192, valutata 6,5, relativa alla possibile esposizione di informazioni sensibili attraverso credenziali insufficientemente protette. L’insieme delle vulnerabilità interessa quindi il funzionamento stesso dell’ambiente in cui vengono progettati ed eseguiti i flussi di intelligenza artificiale.

Il protocollo MCP amplia il rischio quando mancano controlli sugli accessi

Uno degli aspetti più delicati riguarda il Model Context Protocol (MCP), attraverso il quale Langflow può esporre i propri flussi come strumenti richiamabili dalle applicazioni AI. IBM descrive anche un percorso di esecuzione remota di codice senza autenticazione associato all’enumerazione degli strumenti MCP. Un modulo già disponibile nel framework pubblico Metasploit, riferito a CVE-2026-93680, dimostra la possibilità di collegarsi all’endpoint MCP, avviare una sessione ed elencare gli strumenti offerti dal server senza presentare credenziali. Il modulo documentato non esegue però comandi sul sistema, distinzione fondamentale per non confondere la prova di un bypass dell’autenticazione con quella di una compromissione completa. Ulteriori preoccupazioni derivano dalla configurazione LANGFLOW_AUTO_LOGIN, abilitata per impostazione predefinita nella versione 1.12.8, che può effettuare automaticamente l’accesso con privilegi di superutente. La documentazione del software avverte che questa modalità dovrebbe essere riservata agli ambienti di sviluppo. Non è tuttavia chiarito dal bollettino se disabilitarla renda sicure le installazioni vulnerabili: la misura correttiva indicata resta l’aggiornamento a Langflow 1.13.0, release che modifica anche il comportamento predefinito del login automatico. La criticità si inserisce in un quadro già emerso con la vulnerabilità RCE del client MCP-Remote, nel quale la comunicazione tra agenti e strumenti esterni diventa un possibile vettore di compromissione.

Leggi anche: Langflow, Broadcom e NGINX: tre falle espongono AI, router e server.

Microsoft Teams diventa il punto d’ingresso attraverso falsi tecnici informatici

Mentre Langflow affronta vulnerabilità del software, un secondo problema riguarda la fiducia riposta nelle comunicazioni aziendali. Nella ricerca pubblicata da Microsoft Security Research il 30 ottobre 2026 vengono ricostruite due intrusioni avviate attraverso messaggi e chiamate su Microsoft Teams, con attaccanti che impersonavano operatori dell’assistenza informatica. Le vittime venivano convinte ad aprire Quick Assist e a fornire il codice necessario per una sessione remota. Da quel momento gli aggressori potevano controllare direttamente il computer e trasferire archivi contenenti programmi e script. Le attività successive comprendevano l’esecuzione di versioni portabili di Python, Bun e Java, talvolta rinominate per sembrare componenti legittimi, e l’esplorazione della rete alla ricerca dei servizi di identità. Gli attaccanti hanno poi concentrato l’attenzione su Active Directory Certificate Services (AD CS), la componente utilizzata per emettere certificati digitali impiegati nell’autenticazione di utenti e computer. Microsoft precisa che Teams non è stato violato attraverso una vulnerabilità del prodotto: l’accesso iniziale è stato ottenuto convincendo gli utenti ad autorizzare un collegamento remoto. La tecnica richiama precedenti campagne nelle quali Quick Assist era stato sfruttato attraverso l’ingegneria sociale, confermando quanto una funzione legittima di assistenza possa essere abusata quando manca una verifica indipendente dell’interlocutore.

I certificati Active Directory consentono di impersonare account privilegiati

Nel primo incidente esaminato da Microsoft, gli attaccanti hanno individuato un modello di certificato vulnerabile alla tecnica ESC1, che permette a un richiedente con privilegi limitati di ottenere, in presenza di specifiche configurazioni insicure, un certificato valido per autenticarsi come un’identità più privilegiata. Durante una prima ondata di phishing rivolta a tre utenti, il gruppo ha compromesso una postazione e ottenuto certificati associati a tre account altamente privilegiati. I sistemi Microsoft Defender hanno attivato il contenimento, limitando connessioni e sessioni delle identità compromesse, ma un account era stato escluso dalla risposta automatica. Circa novanta minuti dopo, gli operatori hanno avviato una seconda ondata contro 16 utenti, compromesso un altro computer e ottenuto certificati per otto ulteriori identità privilegiate. Le protezioni hanno bloccato oltre 1.000 tentativi di accesso SMB e ostacolato ulteriori movimenti nella rete, senza impedire completamente le attività offensive. Gli attaccanti hanno infatti avviato un’operazione DCSync contro un controller di dominio e successivamente sfruttato l’account escluso dal contenimento per raggiungere un file server. Attraverso una copia rinominata di Rclone, presentata come SearchApp.exe, hanno trasferito dati verso una destinazione esterna SFTP. Il caso dimostra come una singola eccezione nelle regole di protezione possa lasciare disponibile una credenziale sufficiente a proseguire l’attacco.

PetitPotam ed ESC8 trasformano l’autenticazione NTLM in un certificato di dominio

Il secondo incidente presenta un’evoluzione differente. Non essendo disponibile lo stesso percorso ESC1, gli aggressori hanno utilizzato PetitPotam per indurre il controller di dominio ad autenticarsi verso un sistema controllato dall’attaccante. L’autenticazione NTLM è stata quindi inoltrata al servizio web di emissione dei certificati AD CS attraverso una configurazione vulnerabile alla tecnica ESC8. In questo modo gli operatori hanno ottenuto un certificato associato all’identità macchina del controller di dominio, senza conoscerne la password, e lo hanno utilizzato per richiedere un ticket Kerberos tramite PKINIT. L’aspetto più pericoloso consiste nella durata potenziale dell’accesso: cambiare una password non revoca automaticamente un certificato già emesso né invalida i ticket Kerberos esistenti. Nel secondo caso gli avvisi di Microsoft Defender hanno portato il cliente a isolare la postazione coinvolta e, dopo l’intervento, non è stata osservata un’ulteriore progressione dell’attacco. Il problema dei certificati non è nuovo, come mostra anche il precedente incidente di escalation dei privilegi attraverso Active Directory Certificate Services, ma la combinazione con l’impersonazione dell’help desk consente di raggiungere queste infrastrutture partendo da un’interazione quotidiana apparentemente innocua.

Aggiornamenti, identità privilegiate e controlli di accesso diventano decisivi

Le due vicende richiedono interventi differenti, pur condividendo una stessa priorità: ridurre le possibilità che un accesso non autorizzato produca privilegi superiori a quelli previsti. Nel caso di Langflow, la misura immediata è l’aggiornamento alla versione 1.13.0, avendo cura di salvare database, chiavi segrete e file caricati e di preparare correttamente l’accesso con password prima della migrazione. La versione 1.12.8, sebbene pubblicata nello stesso giorno della release correttiva, non risolve le vulnerabilità segnalate. Per le infrastrutture Microsoft, invece, la risposta comprende la verifica delle richieste di assistenza, il controllo delle sessioni remote e soprattutto la revisione dei modelli di certificato e delle autorizzazioni di AD CS. Microsoft raccomanda di proteggere gli endpoint di registrazione web contro l’inoltro NTLM, adottando Extended Protection for Authentication, limitando i servizi non necessari e controllando l’emissione dei certificati. È altrettanto essenziale riesaminare le esclusioni dal contenimento automatico: il primo incidente dimostra che una protezione efficace su molti account può risultare insufficiente se un’identità compromessa rimane libera di operare.
Continua a leggere: Vulnerabilità critica in Langflow: la botnet Flodrix sfrutta l’RCE per diffondersi su sistemi Linux.

La nuova superficie d’attacco comprende software AI e identità aziendali

Il punto comune tra Langflow e gli incidenti documentati da Microsoft non è l’esistenza di una campagna coordinata, per la quale non emergono evidenze, ma la fragilità dei meccanismi che stabiliscono chi può accedere a una risorsa e con quali autorizzazioni. Nel primo scenario la debolezza è nel software che espone strumenti e funzioni AI; nel secondo gli attaccanti aggirano la diffidenza degli utenti e sfruttano configurazioni insicure dei certificati per ottenere identità privilegiate. Anche lo stato delle minacce deve essere distinto: per le nuove vulnerabilità Langflow non è stato documentato, nelle informazioni considerate, uno sfruttamento attivo equivalente alle intrusioni già osservate da Microsoft. Per aziende, pubbliche amministrazioni e organizzazioni italiane che adottano agenti AI e infrastrutture Windows, la conseguenza operativa è chiara: la protezione non può fermarsi alla password o alla singola postazione, ma deve comprendere le interfacce degli agenti, gli strumenti di supporto remoto, i certificati digitali e tutte le identità che permettono di amministrare i sistemi. Quando una sola autorizzazione errata è sufficiente a estendere il controllo sull’infrastruttura, la gestione della fiducia diventa una componente essenziale della sicurezza informatica.