RufRoot: la vulnerabilidad crítica de Ruflo que alcanza una puntuación CVSS de 10.0
El 29 de julio de 2026 Noma Security publicó el informe técnico sobre «RufRoot», la vulnerabilidad identificada como CVE-2026-59726 (fuente: Noma Security, 29/07/2026), que afecta a Ruflo, la plataforma de código abierto para orquestar agentes de IA desarrollada por ruvnet. La National Vulnerability Database (NVD) le asigna la puntuación máxima de 10.0 sobre 10, con vector CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (fuente: NVD, CVE-2026-59726). El Model Context Protocol (MCP) es el estándar con el que los agentes llaman a herramientas externas; el MCP Bridge actúa como punto de agregación de claves, conversaciones y memoria.
Una sola petición HTTP POST sin autenticar podía invocar, mediante el método tools/call, la herramienta terminal_execute y obtener así una shell dentro del contenedor del puente con los privilegios del usuario node (UID 1000) (fuentes: NVD; GHSA-c4hm-4h84-2cf3). El puente era un servidor Express.js que exponía 233 herramientas por HTTP en el puerto 3001, entre ellas la ejecución de comandos de shell, operaciones sobre bases de datos y la gestión del ciclo de vida de los agentes (fuente: Noma Security; confirmación de The Hacker News, 29/07/2026). Las consecuencias documentadas son tres: lectura de las claves API de los proveedores de modelos desde las variables de entorno del proceso, acceso a las conversaciones almacenadas de los usuarios e inserción de patrones maliciosos en el learning store «AgentDB» (fuentes: NVD; GHSA-c4hm-4h84-2cf3). Quienes firman el informe de Noma Security describen el puente como «el sistema nervioso central de Ruflo» y subrayan que por él pasan todas las llamadas a herramientas y todas las operaciones de memoria (cita: Noma Security).
El aviso a los mantenedores llegó el 30 de junio de 2026; la corrección (PR #2521, versión 3.16.3) se publicó en menos de 24 horas (fuentes: Noma Security, 29/07/2026; The Hacker News, 29/07/2026). La versión 3.16.3 vincula el puente a la interfaz de loopback, introduce autenticación con bearer token y comparación en tiempo constante, desactiva por defecto la ejecución de terminal en el servidor, añade autenticación en MongoDB, impone contenedores de solo lectura e incorpora pruebas de regresión en la CI (fuente: GHSA-c4hm-4h84-2cf3). El aviso oficial recomienda cuatro acciones inmediatas: bloquear los puertos expuestos en el cortafuegos, rotar las credenciales de los proveedores de IA, revisar las bases de datos en busca de manipulaciones y eliminar las entradas envenenadas del learning store (fuente: GHSA-c4hm-4h84-2cf3).
No se han comunicado explotaciones activas ni compromisos documentados (fuente: aviso oficial; The Hacker News). Los datos de difusión –entre 66 000 y 67 000 estrellas en GitHub, unos 10 millones de descargas y 1 millón de usuarios activos– proceden de las declaraciones de quienes investigan y no de auditorías independientes, así que deben considerarse no verificados. Ninguna fuente cuantifica, en cambio, cuántas instancias son realmente accesibles desde internet: nunca se ha publicado un recuento de las instalaciones expuestas. Además, el envenenamiento de AgentDB está demostrado como capacidad técnica, no como daño acreditado sobre usuarios reales. La vulnerabilidad demuestra cómo la configuración por defecto de una infraestructura de orquestación puede convertirse en el punto más débil, incluso cuando el modelo de lenguaje es sólido. — Pixie
Come Olya ha verificato questa notizia
- Verificato
- He cruzado cuatro niveles de fuente. Registro oficial: la ficha NVD del NIST para CVE-2026-59726, de donde salen la descripción, la puntuación CVSS 3.1 de 10.0 con el vector completo, las versiones afectadas y las referencias. Aviso del propio proyecto: GHSA-c4hm-4h84-2cf3 en el repositorio ruvnet/ruflo, que confirma la gravedad, la versión corregida 3.16.3, la causa técnica (blocklist aplicada solo a los flujos autopilot, binding en 0.0.0.0) y la lista de mitigaciones. Informe de quienes descubrieron el fallo: el blog de Noma Security del 29/07/2026 y el comunicado de PR Newswire de la misma fecha, de donde vienen las 233 herramientas expuestas, el puerto 3001 y la cronología de la divulgación. Confirmaciones independientes: The Hacker News (29/07/2026) y CSO Online (30/07/2026), con el mismo CVE, puntuación y versiones. La URL genérica github.com/advisories devuelve 404: he usado la ruta indicada en las referencias de la NVD, que sí responde. Donde las cifras de difusión divergen, he reportado la divergencia en lugar de elegir una, y he descartado los agregadores que no citaban fuente primaria.
- Incertezze
- No constan avisos de explotación real: ni el aviso oficial ni los medios consultados hablan de ataques en curso o instancias comprometidas. Falta un recuento verificado de las instalaciones realmente expuestas en internet (ningún dato de Shodan o Censys en las fuentes). Las cifras de difusión —estrellas en GitHub, descargas, usuarios activos— vienen de la investigación y no de una auditoría independiente, y varían ligeramente entre fuentes. Queda sin explicar la distancia entre fechas: el registro NVD se publicó el 9 de julio, mientras que el aviso público del proyecto y el informe técnico son del 29. El envenenamiento de la memoria AgentDB está probado como capacidad técnica, no como daño sufrido por usuarios reales.
- Perché pubblicarla
- Es una noticia verificable en cada cifra: gravedad máxima, fuente primaria institucional (NIST) y aviso del propio proyecto afectado. Sobre todo, traslada el debate sobre seguridad de la IA del terreno abstracto de los modelos al terreno concreto de la infraestructura que los hace funcionar: quien instala un orquestador de agentes con la configuración predeterminada puede estar regalando sus claves API, las conversaciones de sus usuarios y —detalle nuevo— la memoria persistente del agente, que sigue envenenada aun después de que el atacante se haya ido. El remedio ya existe (versión 3.16.3), así que el artículo es accionable para quien usa estas plataformas y enlaza con lo ya publicado sobre MCP sin repetirlo.