Le 1er septembre 2026, VulnCheck observe l’exploitation en masse de CVE-2026-0768, une exécution de code non authentifiée dans Langflow, pour récolter les clés OpenAI et AWS des instances exposées. C’est la sixième faille de Langflow exploitée depuis janvier : toute instance à jour avant la 1.11.6 doit être traitée comme compromise.

Le 5 août 2026, la CISA a inscrit trois vulnérabilités critiques au catalogue KEV : CVE-2026-9198 dans IBM Langflow (CVSS 9.8), CVE-2026-18576 dans N-able N-central, et CVE-2026-34486 dans Apache Tomcat. Les agences fédérales doivent patcher immédiatement.