Langflow e PaperCut sotto attacco: exploit puntano a credenziali e dati

🛡️ Executive Summary

• Attaccanti sfruttano CVE-2026-0768 contro Langflow per interrogare variabili d’ambiente, chiavi cloud, credenziali OpenAI e dati SSH.
• Ruby on Rails CVE-2026-66066 viene sfruttata attivamente attraverso Active Storage e libvips per raggiungere segreti applicativi e C2.
• PaperCut conferma attacchi contro NG/MF: CVE-2026-81578 e CVE-2026-82078 vengono usate anche per sottrarre direttamente tabelle Derby.

Le vulnerabilità critiche nei server esposti stanno passando dalla divulgazione tecnica allo sfruttamento operativo nel giro di pochi giorni. VulnCheck registra centinaia di tentativi contro Langflow e Ruby on Rails, con attaccanti interessati a credenziali OpenAI, chiavi AWS, secret applicativi, accessi SSH e infrastrutture C2. Parallelamente, le due zero-day di PaperCut NG/MF, già corrette attraverso patch d’emergenza, vengono utilizzate non soltanto per raggiungere l’esecuzione di codice ma anche per estrarre direttamente dati dai database delle vittime. I tre casi mostrano una convergenza precisa: piattaforme AI, framework web e server di stampa diventano punti d’ingresso privilegiati perché custodiscono credenziali e collegamenti verso sistemi molto più importanti della macchina inizialmente compromessa.

Langflow diventa un bersaglio stabile per il furto delle credenziali

La pressione più evidente riguarda Langflow, piattaforma open source utilizzata per costruire e distribuire agenti e workflow AI. VulnCheck ha osservato sfruttamento di CVE-2026-0768, vulnerabilità critica con punteggio CVSS 9,8 che consente l’esecuzione arbitraria di codice Python nel contesto del processo esposto. Nelle rilevazioni più recenti gli attaccanti non sembrano limitarsi a verificare se l’istanza sia vulnerabile: interrogano variabili come LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS* e AWS_SECRET*, cercano /root/.cache/langflow/secret_key, controllano la presenza della directory .ssh e persino la dimensione della .bash_history. Secondo l’analisi di VulnCheck sull’attività contro Langflow, il dato si inserisce in una tendenza molto più ampia: nel 2026 l’azienda ha osservato 11 nuove vulnerabilità Langflow sfruttate in-the-wild, oltre 15.000 tentativi riusciti soltanto attraverso CVE-2026-0769, CVE-2025-3248 e CVE-2026-5027 e centinaia di host ancora vulnerabili raggiungibili da Internet. Il cambio di interesse è evidente anche rispetto alle precedenti campagne Langflow entrate nel catalogo KEV insieme alle vulnerabilità di N-central e Tomcat: l’infrastruttura AI non viene più trattata soltanto come un servizio da compromettere, ma come un contenitore di segreti utilizzabili per espandere l’accesso verso cloud, API e altri sistemi aziendali.

I canary di VulnCheck mostrano almeno due playbook differenti. Nel primo caso, dopo avere sfruttato CVE-2026-5027, l’attaccante ha distribuito un credential harvester Python, proxy agent e SimpleHelp, ottenendo persistenza e successivamente stabilendo comunicazioni IRC con l’infrastruttura C2. Il secondo operatore ha utilizzato CVE-2025-3248 come accesso iniziale, installato proxy e tunnel Chisel, avviato un miner XMR, disabilitato auditd per creare un punto cieco forense e successivamente sfruttato CVE-2026-0769 per distribuire un ulteriore payload .sysd. La presenza di SimpleHelp collega inoltre il nuovo scenario alle campagne nelle quali strumenti di supporto remoto vengono trasformati in meccanismi di persistenza e movimento laterale. La differenza tra le due intrusioni è soprattutto economica: un gruppo monetizza immediatamente le risorse computazionali attraverso il mining, l’altro privilegia credenziali, accesso remoto e pivoting, potenzialmente molto più remunerativi quando Langflow è collegato a servizi cloud e modelli commerciali.

Leggi anche: Langflow era già stato sfruttato dalla botnet Flodrix per compromettere sistemi Linux

Ruby on Rails CVE-2026-66066 passa dalla lettura dei file al C2

Anche CVE-2026-66066, soprannominata KindaRails2Shell, è entrata nella fase di sfruttamento attivo. La vulnerabilità interessa Active Storage quando applicazioni Ruby on Rails utilizzano libvips per elaborare immagini caricate da utenti non fidati. Una discrepanza nel modo in cui Active Storage e libvips interpretano i file permette a un attaccante non autenticato di indurre il server a leggere file locali. L’impatto diventa critico perché il processo Rails conserva spesso nel proprio ambiente secret_key_base, master key, credenziali database, token API e credenziali per storage cloud. Il security advisory ufficiale del progetto Rails indica come versioni corrette 7.2.3.2, 8.0.5.1 e 8.1.3.1 e assegna alla falla un punteggio CVSS 9,5. Matrice Digitale aveva già ricostruito come Active Storage e libvips potessero trasformare un semplice upload d’immagine in accesso ai segreti del server; la differenza ora è la presenza di attività ostile osservata sui canary.

VulnCheck ha registrato exploit contro sistemi in Singapore, Israele e Regno Unito, con traffico ricondotto in una delle campagne a un singolo indirizzo IP francese e collegamenti C2 verso un host israeliano. All’inizio di agosto la società stimava inoltre più di 7.100 istanze Rails vulnerabili esposte. Il problema richiede una lettura prudente anche sul fronte delle patch: VulnCheck sostiene di avere verificato che, pur bloccando la lettura dei file tramite libvips, una versione aggiornata poteva ancora eseguire il gadget di deserializzazione Marshal se l’attaccante disponeva di una firma valida. Questo non rende inutile l’aggiornamento, ma rafforza la necessità di considerare compromessi i segreti esposti prima dell’applicazione della correzione e di valutarne la rotazione, invece di limitarsi al semplice upgrade del framework.

PaperCut passa dall’RCE alla sottrazione diretta delle tabelle Derby

Su PaperCut NG e PaperCut MF l’evoluzione è ancora più rapida. Il vendor aveva già confermato attacchi reali contro i propri clienti e pubblicato due patch d’emergenza per CVE-2026-81578 e CVE-2026-82078. La prima è una vulnerabilità di authentication bypass, mentre la seconda riguarda il caricamento dinamico non sicuro delle classi utilizzate dai connettori database. Concatenate, permettono di superare i controlli di accesso e raggiungere l’esecuzione di codice nel contesto del server PaperCut. Nel bollettino urgente del produttore, PaperCut assegna a CVE-2026-82078 un punteggio CVSS 9,4 e raccomanda l’installazione di Emergency Patch Release 2 anche ai clienti che avevano già applicato la prima correzione. La gravità della situazione era già emersa quando PaperCut aveva dovuto pubblicare una seconda patch dopo la scoperta di percorsi capaci di aggirare il primo fix.

Gli attaccanti non cercano necessariamente una shell

Le nuove osservazioni mostrano però che la catena non viene utilizzata esclusivamente per ottenere RCE. Honeypot monitorati dal threat intelligence provider Defused hanno registrato dallo 29 agosto un attore che sfrutta il bypass di autenticazione per dirottare la funzione di external user lookup di PaperCut e scaricare tabelle direttamente dal database Apache Derby. È una scelta operativa significativa: quando l’informazione desiderata è già accessibile attraverso una funzione del prodotto compromesso, l’attaccante può evitare di installare payload rumorosi e ridurre la telemetria disponibile ai difensori. Shadowserver monitorava contemporaneamente oltre 800 server PaperCut NG/MF esposti su Internet, anche se il numero non distingue sistemi patchati, vulnerabili o honeypot. La storia del prodotto rende la situazione ancora più delicata: nel 2023 vulnerabilità PaperCut erano state sfruttate da gang ransomware e gruppi iraniani, mentre Bl00dy aveva già utilizzato una falla PaperCut per compromettere server vulnerabili. La presenza di dati relativi ai processi di stampa, utenti e configurazioni rende questi server interessanti anche quando il fine non è immediatamente ransomware.

Patchare non basta quando l’exploit ha preceduto la correzione

Langflow, Rails e PaperCut mostrano tre varianti dello stesso problema. Nel primo caso gli aggressori sfruttano un framework AI perché ospita credenziali e connessioni verso servizi ad alto valore. Nel secondo utilizzano la lettura arbitraria dei file per raggiungere secret applicativi che possono trasformare una vulnerabilità web in movimento laterale. Nel terzo sfruttano un bypass di autenticazione per interrogare direttamente un database, senza necessariamente passare dall’esecuzione di codice. È quindi sbagliato trattare il patching come la fine dell’incidente quando lo sfruttamento è già stato confermato. Per Langflow devono essere verificati processi figli, cron job, proxy, installazioni SimpleHelp, connessioni IRC, accessi SSH e utilizzo anomalo delle credenziali cloud. Per Rails devono essere considerate la rotazione di secret_key_base, master key, password database e token esterni quando l’applicazione è stata esposta durante la finestra vulnerabile. Per PaperCut il vendor raccomanda di limitare immediatamente l’accesso Web ai soli indirizzi fidati, applicare Emergency Patch Release 2 e utilizzare gli indicatori di compromissione pubblicati durante l’indagine.

Continua con:

• cPanel e PaperCut mostrano perché i server amministrativi esposti diventano obiettivi ad alta priorità
• TeamCity, VMware e Rails espongono pipeline e applicazioni attraverso vulnerabilità critiche

Il bersaglio reale sono le identità custodite dietro il servizio vulnerabile

La caratteristica comune alle nuove campagne non è il linguaggio utilizzato dai prodotti né il tipo di vulnerabilità, ma il valore delle identità tecniche accessibili dopo la compromissione. Un’istanza Langflow può contenere token OpenAI, chiavi AWS e credenziali utilizzate dagli agenti. Un processo Rails può custodire le chiavi necessarie per firmare sessioni, accedere ai database e raggiungere storage esterni. PaperCut concentra identità degli utenti, configurazioni e collegamenti con servizi aziendali. Questo spiega perché vulnerabilità applicative apparentemente circoscritte attirino rapidamente campagne automatizzate: il server compromesso è soltanto il primo livello e il vero obiettivo è ciò che permette di raggiungere dopo. VulnCheck osserva che gli attaccanti hanno ormai dedicato a Langflow una pressione continuativa per tutto il 2026, mentre PaperCut dimostra ancora una volta quanto velocemente una zero-day possa passare dall’accesso iniziale alla sottrazione concreta dei dati. La priorità operativa diventa quindi duplice: aggiornare i sistemi vulnerabili e ricostruire ciò che gli aggressori possono avere ottenuto prima della patch, perché una credenziale rubata continua a funzionare anche quando la vulnerabilità che ha permesso di leggerla è stata corretta.