攻擊者利用 Langflow 和 Rails 的關鍵漏洞進行憑證探測與 C2 活動

根據 VulnCheck 的最新發現，威脅行為者正在利用影響 Langflow 和 Ruby on Rails 的兩項關鍵漏洞。

相關漏洞如下：

攻擊者可以利用 CVE-2026-66066，透過上傳一張特製的圖片來達成，這是利用了 Active Storage 和 libvips 在讀取輸入檔案時的差異。

成功利用此漏洞需要受影響的應用程式使用 libvips 進行 Active Storage 圖片處理，並接受來自不受信任使用者的圖片上傳。

VulnCheck 表示，他們在 2026 年 8 月 30 日的幾個小時內記錄了超過 50 次偵測，截至週一，這一數字已上升至 360 次。

「攻擊者似乎正在進行偵察和憑證收集活動：攻擊者的請求查詢了環境變數（LANGFLOW_SUPERUSER、OPENAI_API*、AWS_ACCESS*、AWS_SECRET*），讀取了 /root/.cache/langflow/secret_key，並檢查了 .ssh 存取和 .bash_history 的大小，」VulnCheck 的威脅研究副總裁 Caitlin Condon 表示。

「來源流量主要來自俄羅斯，迄今為止僅命中英國的誘餌系統。」

此次漏洞利用發生之際，自 2025 年以來，威脅行為者已利用了多達 12 項漏洞，其中利用 CVE-2026-0769、CVE-2025-3248 和 CVE-2026-5027 的成功嘗試超過 15,000 次。大多數受漏洞影響的 Langflow 主機位於美國、德國、馬來西亞、巴西和印度。

在觀察到針對其誘餌系統的一個案例中，未知威脅行為者利用 CVE-2026-5027 部署了一個 Python 憑證收集器、代理代理程式和 SimpleHelp 以進行遠端存取。在另一個案例中，攻擊者利用 CVE-2025-3248 將機器納入 XMR 加密貨幣礦工殭屍網路。

「他們隨後禁用了 auditd，導致鑑識盲點，並利用 CVE-2026-0769 部署了 .sysd，」VulnCheck 表示。「從那裡開始，攻擊者轉向掃描其他目標，很可能是為了擴大其加密貨幣挖礦業務，然後轉移到另一台主機。」

這些發現凸顯了攻擊者對 AI 開發平台日益增加的興趣，這些平台可以存取敏感憑證、雲端環境和其他連接系統。

該威脅情報公司此後還偵測到 CVE-2026-66066 在新加坡、以色列和英國的誘餌系統上被積極利用。在 LinkedIn 上分享的一篇文章中，安全研究員 Patrick Garrity 表示，這些活動源自法國的一個 IP 位址，並與以色列的一個主機建立了命令與控制（C2）。

「Active Storage 始終啟用了 libvips 載入器，這對不受信任的內容是不安全的，因此任何使用預設 vips 處理器渲染圖片上傳變體的應用程式都可能被誘導載入惡意上傳，」VulnCheck 補充道。「值得注意的是，我們測試了一個已修補的 8.1.3.1 伺服器，發現雖然修補程式阻止了 libvips 檔案讀取，但它並未中和變體金鑰的 Marshal 反序列化：給定有效簽章，RCE 漏洞仍然會在已修補的伺服器上執行。」

截至 8 月初，VulnCheck 已識別出超過 7,100 個暴露的 Ruby on Rails 易受攻擊的實例。