La CISA (agence américaine chargée de la cybersécurité et de l’infrastructure) a publié un avertissement : des failles exploitées seraient activement utilisées par des acteurs malveillants contre IBM Langflow OSS, N-able N-central et Apache Tomcat. L’alerte concerne trois vulnérabilités suivies par des identifiants CVE, désormais inscrites dans le catalogue Known Exploited Vulnerabilities (KEV), qui recense les failles connues pour être mises en œuvre dans la nature.
Concrètement, plusieurs chemins d’attaque peuvent conduire à des impacts graves : exécution de code à distance, contournement d’authentification et accès administratif. La CISA demande aux organisations, en particulier aux agences fédérales, d’appliquer les correctifs rapidement.
Pourquoi la CISA insiste sur la mise à jour
Quand la CISA ajoute une vulnérabilité au registre KEV, le message est clair : il ne s’agit pas uniquement de risques théoriques. Des campagnes d’exploitation seraient en cours, souvent avec des codes de preuve (PoC) et des contournements de correctifs déjà observés.
Dans ce cas précis, l’agence alerte sur trois failles exploitées, chacune associée à un composant différent. L’objectif est de réduire au plus vite la surface d’attaque en corrigeant les versions concernées, notamment avant une date limite fixée aux agences fédérales.
Langflow OSS : une chaîne de deux endpoints pour exécuter du code
La première vulnérabilité concerne IBM Langflow OSS et porte l’identifiant CVE-2026-9198, avec un score CVSS de 9,8. D’après les informations partagées, cette faille permettrait à un attaquant sans authentification de combiner deux endpoints d’API afin d’arriver à une exécution de code à distance.
La divulgation publique a eu lieu le 17 juillet. IBM a ensuite publié des correctifs, dont la référence mentionnée est Langflow OSS version 1.10.1, tout en indiquant que les déploiements par défaut seraient touchés.
IBM explique que la faiblesse combine deux problèmes distincts :
- un endpoint non authentifié capable de générer des jetons “superuser bearer” pour tout appelant présent sur le réseau ;
- un endpoint de validation de code qui exécute du code Python arbitraire.
L’enchaînement est présenté comme suit : l’attaquant obtient d’abord un jeton via l’auto-connexion, puis réutilise ce jeton pour soumettre un code malveillant à l’endpoint de validation.
En parallèle, un code de démonstration ciblant la vulnérabilité a été publié environ une semaine après la divulgation. Enfin, la CISA a ajouté la CVE correspondante à son catalogue KEV le 4 août.
N-central : contournement d’authentification et accès admin
La deuxième faille concerne N-able N-central. Elle est suivie sous CVE-2026-18556 et affiche un CVSS de 7,4. Le problème est décrit comme un contournement d’authentification.
Selon N-able, des acteurs malveillants auraient exploité cette faiblesse comme un zero-day afin d’obtenir un accès administratif et de se connecter aux systèmes gérés via la plateforme de remote monitoring and management (RMM).
Le premier correctif associé à la CVE 2026-18556 serait toutefois incomplet. Les assaillants ont alors réussi à contourner la protection mise en place. À mesure que l’exploitation s’intensifiait vers la fin du mois de juillet, N-able a déployé un hotfix, référencé par une nouvelle CVE : CVE-2026-18577.
Résultat : CVE-2026-18556 et CVE-2026-18577 figurent désormais toutes deux dans la liste KEV de la CISA, ce qui confirme le caractère concret des abus observés.
Apache Tomcat : contournement d’EncryptInterceptor menant à l’exécution
La troisième vulnérabilité ajoutée concerne Apache Tomcat et porte l’identifiant CVE-2026-34486, avec un CVSS de 7,5. Elle est associée à un contournement d’EncryptInterceptor. Le correctif aurait été introduit au mois d’avril pour cette CVE.
D’après les éléments fournis, la faiblesse a été introduite en mars lors de la correction liée à CVE-2026-29146, elle-même décrite comme un padding oracle affectant EncryptInterceptor.
EncryptInterceptor est un optional channel interceptor qui sert à chiffrer les messages transmis entre des nœuds dans des clusters Tomcat. Le point critique, tel que formulé par l’entité qui a identifié le bug (StrigaAI), serait lié à un changement de logique autour du traitement d’erreur : la modification d’une ligne de code aurait transformé la couche de chiffrement de fail-closed vers fail-open.
En clair, cela ouvrirait une voie directe vers une exécution de code à distance non authentifiée sur chaque membre du cluster. Sur un déploiement configuré avec EncryptInterceptor, le flux attendrait normalement que les messages chiffrés à l’aide d’une clé partagée soient déchiffrés, puis transmis à la couche de désérialisation.
Or, en cas d’échec de déchiffrement, le contournement empêcherait la sécurité attendue : le code contrôlé par l’attaquant serait relayé dans la chaîne d’intercepteurs sans modification, ce qui pourrait permettre l’exploitation.
Des signaux d’exploitation ont également été rapportés récemment : SOCRadar a averti que CVE-2026-34486 aurait été exploitée par un acteur malveillant chinois dans des attaques impliquant la famille de logiciels malveillants Snowlight. De son côté, Palo Alto Networks a observé l’exploitation de la même vulnérabilité dans une campagne de piratage autonome assistée par IA.
Dates et priorités de correction
Dans le cadre de ses exigences BOD 26-04, la CISA recommande aux agences fédérales de patcher les trois vulnérabilités avant le 7 août. Même si votre organisation n’est pas soumise à cette directive, le message est applicable : lorsque des failles exploitées figurent au registre KEV, l’alignement sur les correctifs devient urgent.
Pour prioriser efficacement, commencez par les systèmes exposés et ceux qui permettent le plus facilement une prise de contrôle. Dans cette alerte, les éléments associés à l’exécution de code à distance et au contournement d’authentification doivent généralement passer en tête de liste.
Checklist rapide pour réduire le risque
Sans prétendre remplacer une analyse de votre environnement, vous pouvez vous appuyer sur une démarche simple :
- Vérifiez les versions de Langflow OSS, N-central et Tomcat déployées dans vos environnements.
- Appliquez les correctifs correspondant aux CVE mentionnées (et vérifiez la prise en compte des hotfix quand ils existent).
- Contrôlez les endpoints exposés et les interfaces de gestion accessibles depuis des réseaux non maîtrisés.
- Surveillez les journaux pour détecter des comportements compatibles avec l’exploitation (chaînage d’actions, erreurs inhabituelles, tentatives d’accès administratifs).
En complément, testez vos mises à jour et la configuration associée (notamment l’usage d’EncryptInterceptor côté Tomcat), afin d’éviter qu’une modification de configuration ne réintroduise des comportements à risque.
Conclusion
La CISA met en avant un ensemble de failles exploitées touchant des briques largement utilisées : Langflow OSS, N-central et Apache Tomcat. Les scénarios décrits vont de la chaîne d’APIs menant à l’exécution de code à distance au contournement d’authentification permettant l’accès administratif, jusqu’au contournement d’un mécanisme de chiffrement dans un cluster Tomcat.
Si vous déployez ces composants, la priorité est de corriger rapidement et de valider la bonne application des correctifs, particulièrement au regard des signaux d’exploitation déjà observés.
Source: https://www.securityweek.com/cisa-warns-of-exploited-langflow-n-central-and-tomcat-vulnerabilities/
