LangGraph em jaque por três vulnerabilidades críticas que podem permitir execução remota de código em instalações auto-alojadas

Pesquisadores de segurança têm revelado três vulnerabilidades já corrigidas em LangGraph, o framework de código aberto desenvolvido por LangChain para construir agentes de IA com estado e multi-agente. A mais crítica é uma cadeia de erros - SQL injection mais deserialização insegura - que, em instalações self-hosted, pode permitir a execução remota de código (RCE) Se a aplicação expõe determinados endpoints e emprega os módulos de persistência afetados.

As falhas identificadas incluem CVE-2025-67644, uma injeção SQLite do checkpointer que permite manipular consultas através de filtros de meta- dados (afecta a langgraph-checkpoint-sqlite antes da versão 3.0.1); CVE-2026-28277, uma deserialização insegura de msgpack que abre a porta para reconstrução de objetos maliciosos ao carregar checkpoints (afecta a langgraph antes da versão 1.0.10); e CVE-2026-27022, uma injeção em consultas RediSearch que pode contornar controles de acesso em @langchain/langgraph-checkpoint-redis ( Antes da versão 1.0.1). As descobertas foram atribuídas ao pesquisador Yarden Porat e publicadas junto à análise de Check Point.

O vetor de ataque mais sério descrito pelos pesquisadores combina primeiro a injeção SQL para devolver uma linha de checkpoint falsificada e depois força a aplicação a deserializar um BLOB msgpack controlado pelo atacante, o que pode executar o payload incorporado. Esse encadeamento depende de que o serviço permita ler checkpoints por metadados (por exemplo, através de get_state_history()) e da capacidade do atacante para influenciar os filtros ou os dados do armazém de checkpoints.

É importante salientar que as configurações geridas por LangChain (LangSmith Deployment) não são afetadas por este cenário no modelo de ameaça descrito, porque os ambientes típicos alojados não permitem a manipulação direta do armazenamento de checkpoints. No entanto, a exposição de endpoints sem autenticação e a falta de protecções na camada de persistência podem converter falhas clássicas como SQL injection em vetores críticos contra infra-estruturas de IA.

Do ponto de vista prático, os operadores devem priorizar a aplicação das atualizações publicadas por LangGraph e LangChain. Actualizar a langgraph 1.0.10, langgraph- checkpoint-sqlite 3.0.1 e @langchain/langgraph-checkpoint-redis 1.0.1(ou versões superiores) fecha estas vulnerabilidades conhecidas. Além disso, convém rever a telemetria e os logs para detecção retrospectiva de consultas ou checkpoints suspeitos e auditar acessos ao armazém de checkpoints.

Para além do adesivo imediato, as mitigações compensatórias são chaves: activar autenticação e autorização robusta em qualquer endpoint que exponha história ou checkpoints; evitar segredos estáticos de longa duração em runtimes de agentes; segmentar as redes para que os serviços de armazenamento (SQLite/Redis) não fiquem acessíveis a partir de zonas públicas; e aplicar o princípio de menor privilégio aos agentes, tratando-os como identidades privilegiadas com acesso restrito a recursos específicos.

No nível de desenvolvimento, é imprescindível corrigir a raiz: usar consultas parametrizadas e validação estrita dos filtros antes de os incorporar em consultas SQL, introduzir assinatura ou integridade de checkpoints para impedir a carga de dados manipulados, e substituir ou mitigar deserialização insegura por formatos seguros ou validações rigorosas. Para a deserialização de dados binários, recomenda-se verificar esquemas, usar bibliotecas que imponham limites e, quando possível, evitar a execução de código a partir de objetos reconstruídos.

Os operadores que não possam corrigir imediatamente devem, pelo menos, desactivar ou proteger o endpoint get_state_history (), restringir o acesso à base de dados e ao serviço Redis a partir de redes não confiáveis, rotar credenciais e chaves, e estabelecer monitoramento e alertas sobre operações incomuns na camada de persistência. Considerar o uso de ambientes de execução isolados e a proibição de privilégios desnecessários reduz o impacto de uma possível escalada.

Este caso volta a colocar em primeiro plano que vulnerabilidades bem conhecidas (injeção SQL, deserialização insegura) cobram uma nova dimensão quando se encontram dentro de frameworks de agentes de IA que manejam segredos, credenciais e conexões a outros sistemas. Para mais contexto sobre ataques de deserialização e boas práticas contra injeção SQL, consulte o guia OWASP sobre deserialização insegura e a documentação do OWASP sobre injeção SQL. Para informações e comunicados sobre a descoberta e as correções, você pode rever o aviso dos pesquisadores e o repositório de LangChain no GitHub: Check Point Research, OWASP, GitHub - LangChain.