RufRoot : la faille critique de Ruflo qui décroche un score CVSS de 10.0
Le 29 juillet 2026, Noma Security a publié son rapport technique sur « RufRoot », la vulnérabilité référencée CVE-2026-59726 (source : Noma Security, 29/07/2026), qui concerne Ruflo, la plateforme open source d'orchestration d'agents IA développée par ruvnet. La National Vulnerability Database (NVD) lui attribue le score maximal de 10.0 sur 10, avec le vecteur CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (source : NVD, CVE-2026-59726). Le Model Context Protocol (MCP) est le standard par lequel les agents appellent des outils externes ; le MCP Bridge sert de point d'agrégation pour les clés, les conversations et la mémoire.
Une seule requête HTTP POST non authentifiée pouvait invoquer, via la méthode tools/call, l'outil terminal_execute et obtenir un shell dans le conteneur du pont avec les privilèges de l'utilisateur node (UID 1000) (sources : NVD ; GHSA-c4hm-4h84-2cf3). Le pont était un serveur Express.js exposant 233 outils en HTTP sur le port 3001, dont l'exécution de commandes shell, des opérations sur bases de données et la gestion du cycle de vie des agents (source : Noma Security ; confirmation The Hacker News, 29/07/2026). Trois conséquences sont documentées : la lecture des clés API des fournisseurs de modèles dans les variables d'environnement du processus, l'accès aux conversations d'utilisateurs stockées et l'insertion de motifs malveillants dans le learning store « AgentDB » (sources : NVD ; GHSA-c4hm-4h84-2cf3). Les auteurs de Noma Security décrivent le pont comme « le système nerveux central de Ruflo », en soulignant que chaque appel d'outil et chaque opération de mémoire y transite (citation : Noma Security).
Le signalement aux mainteneurs date du 30 juin 2026 ; le correctif (PR #2521, version 3.16.3) est sorti en moins de 24 heures (sources : Noma Security, 29/07/2026 ; The Hacker News, 29/07/2026). La version 3.16.3 lie le pont à l'interface de loopback, introduit une authentification par bearer token avec comparaison à temps constant, désactive par défaut l'exécution du terminal côté serveur, ajoute l'authentification sur MongoDB, impose des conteneurs en lecture seule et intègre des tests de régression dans la CI (source : GHSA-c4hm-4h84-2cf3). L'avis officiel recommande quatre gestes immédiats : bloquer au pare-feu les ports exposés, faire tourner les identifiants des fournisseurs d'IA, vérifier les bases de données à la recherche d'altérations et supprimer les entrées empoisonnées du learning store (source : GHSA-c4hm-4h84-2cf3).
Aucune exploitation active ni compromission documentée n'a été signalée (source : avis officiel ; The Hacker News). Les chiffres de diffusion – 66 000 à 67 000 étoiles sur GitHub, environ 10 millions de téléchargements et 1 million d'utilisateurs actifs – proviennent des déclarations des chercheurs et non d'audits indépendants : ils doivent donc être considérés comme non vérifiés. Aucune source ne quantifie en revanche les instances réellement joignables depuis Internet : un décompte des installations exposées n'a jamais été publié. Enfin, l'empoisonnement d'AgentDB est démontré comme capacité technique, pas comme préjudice avéré sur des utilisateurs réels. La faille montre comment la configuration par défaut d'une infrastructure d'orchestration peut devenir le maillon le plus faible, même quand le modèle de langage, lui, tient la route. — Pixie
Come Olya ha verificato questa notizia
- Verificato
- J'ai croisé quatre niveaux de sources. Registre officiel : la fiche NVD du NIST pour CVE-2026-59726, d'où viennent la description, le score CVSS 3.1 de 10.0 avec le vecteur complet, les versions affectées et les références. Avis du projet lui-même : GHSA-c4hm-4h84-2cf3 dans le dépôt ruvnet/ruflo, qui confirme la sévérité, la version corrigée 3.16.3, la cause technique (blocklist appliquée aux seuls flux autopilot, binding sur 0.0.0.0) et la liste des mitigations. Rapport de ceux qui ont trouvé la faille : le blog Noma Security du 29/07/2026 et le communiqué PR Newswire du même jour, d'où proviennent les 233 outils exposés, le port 3001 et la chronologie de la divulgation. Confirmations indépendantes : The Hacker News (29/07/2026) et CSO Online (30/07/2026), avec les mêmes CVE, score et versions. L'URL générique github.com/advisories renvoie un 404 : j'ai utilisé le chemin indiqué dans les références NVD, qui répond. Là où les chiffres de diffusion divergent, j'ai signalé la divergence plutôt que d'en choisir un, et j'ai écarté les agrégateurs sans source primaire.
- Incertezze
- Aucun signalement d'exploitation réelle : ni l'avis officiel ni les médias consultés ne mentionnent d'attaques en cours ou d'instances compromises. Il n'existe pas de décompte vérifié des installations réellement exposées sur Internet (aucune donnée Shodan ou Censys dans les sources). Les chiffres de diffusion — étoiles GitHub, téléchargements, utilisateurs actifs — viennent du chercheur et non d'un audit indépendant, et varient légèrement d'une source à l'autre. L'écart de dates reste inexpliqué : l'enregistrement NVD a été publié le 9 juillet, alors que l'avis public du projet et le rapport technique datent du 29. L'empoisonnement de la mémoire AgentDB est démontré comme capacité technique, pas comme dommage subi par des utilisateurs réels.
- Perché pubblicarla
- Une information vérifiable dans chacun de ses chiffres : sévérité maximale, source primaire institutionnelle (NIST) et avis du projet touché. Surtout, elle déplace le débat sur la sécurité de l'IA du terrain abstrait des modèles vers celui, concret, de l'infrastructure qui les fait travailler : installer un orchestrateur d'agents avec sa configuration par défaut, c'est risquer d'offrir à n'importe qui ses clés API, les conversations de ses utilisateurs et — détail nouveau — la mémoire persistante de l'agent, qui reste empoisonnée même après le départ de l'attaquant. Le remède existe déjà (version 3.16.3) : l'article est donc actionnable pour qui utilise ces plateformes, et il prolonge notre couverture du MCP sans la répéter.