Investigadores detectaron una vulnerabilidad crítica (CVE-2026-59726) en Ruflo que permite la ejecución remota de código sin autenticación. El fallo exponía herramientas sensibles a través de un puente MCP abierto por defecto, permitiendo el robo de claves API y la manipulación de la memoria de la IA. Se recomienda actualizar a la versión 3.16.3, rotar credenciales y auditar el sistema.







Investigadores de ciberseguridad han alertado sobre un fallo de seguridad de severidad máxima en Ruflo, un meta-harness de agentes de código abierto para Anthropic Claude Code y OpenAI Codex, que podría resultar en la ejecución remota de código sin autenticación.

La vulnerabilidad, rastreada como CVE-2026-59726 (puntuación CVSS: 10.0), afecta a todas las versiones del proyecto anteriores a la versión 3.16.3. El equipo de investigación de Noma Security, Noma Labs, la ha apodado RufRoot.

Lanzado originalmente como Claude Flow, Ruflo es una plataforma de orquestación de multi-agentes de IA y un harness que te permite desplegar enjambres multi-jugador, coordinar flujos de trabajo autónomos y construir sistemas de IA conversacionales. El proyecto cuenta con más de 66.500 estrellas en GitHub.

El núcleo de la vulnerabilidad es que Ruflo exponía 233 herramientas, incluyendo la ejecución de comandos de shell, operaciones de base de datos, gestión de agentes y almacenamiento de memoria, a través de un puente de Protocolo de Contexto de Modelo (MCP) sin autenticación que está abierto a la red por defecto.

Específicamente, se descubrió que el archivo de configuración YAML "docker-compose.yml" vinculaba el puerto 3001 a 0.0.0.0 por defecto, exponiendo el puente en todas las interfaces de red. Dicho esto, el alcance de la exposición depende de las reglas del firewall de tu despliegue, los grupos de seguridad y la segmentación de la red. Cabe destacar que cualquier instancia accesible por red es totalmente explotable sin autenticación.

Como resultado, un único HTTP POST no autenticado al puerto 3001 permitía lograr la ejecución remota de código completa dentro de un despliegue de Ruflo susceptible, según el investigador de seguridad Eli Ainhorn -

curl -s -X POST https://<target>:3001/mcp -H "Content-Type: application/json" -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"ruflo__terminal_execute","arguments":{"command":"id && hostname"}}}'

Armado con este punto de apoyo, un atacante podría sustraer las claves API que Ruflo utiliza para interactuar con los proveedores de modelos de lenguaje extenso (LLM), leer cada conversación de usuario almacenada en la plataforma e interferir con la memoria del sistema de IA para influir en las respuestas y el comportamiento del modelo.

En otras palabras, la ejecución de comandos sirve como trampolín para el compromiso total, permitiendo el robo de claves API de LLM, la militarización de agentes, el envenenamiento de la memoria de la IA, la recolección de conversaciones y el despliegue de puertas traseras persistentes escribiendo una carga útil maliciosa en el directorio "/app".

"Antes de la versión 3.16.3, el despliegue predeterminado de docker-compose de Ruflo exponía los endpoints POST /mcp y POST /mcp/:group del puente MCP sin autenticación, permitiendo que un atacante de red no autenticado invocara tools/call a terminal_execute, obtuviera una shell en el contenedor del puente, leyera las claves API del proveedor y envenenara los patrones de almacenamiento de aprendizaje de AgentDB", según una descripción del fallo en la Base de Datos Nacional de Vulnerabilidades (NVD) de NIST.

Tras una divulgación responsable el 30 de junio de 2026, el mantenedor del proyecto, Reuven Cohen, lanzó una corrección para la vulnerabilidad en menos de 24 horas. Como parte del parche, el puente MCP ahora se vincula a la interfaz de loopback por defecto, protege "terminal_execute" tras controles de executeTool del lado del servidor y habilita la autenticación de MongoDB para evitar el robo de conversaciones, entre otras medidas.

"El puente MCP incluido en ruflo/docker-compose.yml exponía POST /mcp sin autenticación", dijo Cohen en las notas de la versión. "Los valores predeterminados de docker-compose vinculaban el puente y MongoDB a todas las interfaces".

"En conjunto, un atacante de red no autenticado podría invocar tools/call → terminal_execute dentro del contenedor del puente, obtener una shell, leer cada clave API del proveedor desde el entorno del contenedor, generar enjambres controlados por el atacante con las claves de la víctima y persistir un patrón envenenado en el almacén de aprendizaje de AgentDB que dirija las futuras salidas de la IA".

Se recomienda a los operadores que ejecuten una instancia expuesta que cierren inmediatamente los puertos del firewall 3001 y 27017, roten todas las claves API de LLM, auditen el almacén de patrones de AgentDB en busca de entradas agentdb_pattern-store inyectadas y revisen MongoDB en busca de signos de manipulación.

"La vulnerabilidad de Ruflo permitía poner en marcha un enjambre de agentes para hacer cualquier cosa que el atacante quisiera e incluso manipular la memoria de la IA", dijo Noma. "La capacidad de escribir instrucciones maliciosas en la memoria persistente de IA de una plataforma significa que un atacante puede influir en las respuestas que la IA da a cada futuro usuario de la plataforma, mucho después de que la intrusión original haya terminado".

"Para las organizaciones expuestas a una vulnerabilidad como esta, la remediación requiere más que una actualización de software. Las credenciales del proveedor de IA deben tratarse como comprometidas y rotarse, la memoria de IA de la plataforma debe auditarse para detectar manipulaciones y los contenedores deben reconstruirse desde una imagen limpia".

Fuente:
THN