A LangChain publicou dois GitHub Security Advisories contra o langgraph-api — o runtime do LangGraph Server por trás da LangGraph Platform, incluindo o chart Helm oficial — às 18:55:57 e 18:56:03 UTC de 19 de agosto. Ambos são falhas de autorização entre inquilinos em um runtime de agentes em produção.
Os dois bugs
CVE-2026-55236 (CVSS 5.9, com foco em confidencialidade): o caminho de criação de execuções acionava um evento de autorização assistants.search, enquanto leituras diretas e operações de cron acionavam assistants.read. Em implantações cujo manipulador personalizado restringia o acesso a assistentes com base em assistants.read sem um fallback global, nenhum manipulador era consultado na criação de execuções — a restrição de proprietário desaparecia e o metadata, o config e o context privados de outro usuário voltavam na resposta.
CVE-2026-55235 (CVSS 5.9, com foco em integridade): uma execução ou cron podia especificar um destino de webhook relativo. A entrega então voltava para a mesma aplicação por meio de um transporte em processo que o middleware de autenticação trata como interno e não autentica, permitindo que uma requisição criasse execuções ou modificasse o estado das threads de outro usuário.
O que a leitura comum erra
Isso será relatado como novas vulnerabilidades encontradas no LangGraph. Duas correções. Primeiro, a correção está no PyPI desde 11 de junho de 2026 — a primeira versão corrigida é a 0.10.0, e quatorze lançamentos adicionais foram publicados desde então, até a 0.12.6 em 18 de agosto. Quem estava em uma versão minimamente atual nunca esteve exposto. O que ocorreu em 19 de agosto foi divulgação, não descoberta, e não uma corrida para corrigir.
Segundo, "exposição de dados entre inquilinos em plataforma de agentes" exagera o alcance do impacto. A CVE-2026-55236 só afeta implantações que escreveram um manipulador de autorização personalizado registrando assistants.read ou assistants.search sem um manipulador global; o próprio aviso da LangChain diz que implantações sem manipuladores personalizados, ou com filtros equivalentes de proprietário em todos os eventos, não são afetadas. Ambos os avisos afirmam explicitamente: "Não temos evidências de que esse comportamento esteja ocorrendo no mundo real."
A forma do bug é a notícia
Ambas as falhas decorrem do mesmo modo de falha — um runtime de agentes com mais de um caminho interno para o mesmo recurso, em que o nome do evento de autorização diverge em um deles, além de um transporte "interno" que ignora a autenticação por completo. Servidores de agentes acumulam exatamente essas superfícies: webhooks, crons, threads e execuções tocando estado compartilhado por diferentes pontos de entrada. Essa classe de descoberta continuará a se repetir por razões estruturais, e não por descuido de uma equipe específica.