RufRoot: a vulnerabilidade crítica do Ruflo que alcança pontuação CVSS 10.0
A 29 de julho de 2026, a Noma Security publicou o relatório técnico sobre o «RufRoot», a vulnerabilidade identificada como CVE-2026-59726 (fonte: Noma Security, 29/07/2026), que afeta o Ruflo, plataforma de código aberto para orquestração de agentes de IA desenvolvida pela ruvnet. A National Vulnerability Database (NVD) atribui-lhe a pontuação máxima de 10.0 em 10, com o vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (fonte: NVD, CVE-2026-59726). O Model Context Protocol (MCP) é o padrão através do qual os agentes chamam ferramentas externas; o MCP Bridge funciona como ponto de agregação de chaves, conversas e memória.
Um único pedido HTTP POST sem autenticação podia invocar, através do método tools/call, a ferramenta terminal_execute, obtendo uma shell dentro do contentor da ponte com os privilégios do utilizador node (UID 1000) (fontes: NVD; GHSA-c4hm-4h84-2cf3). A ponte era um servidor Express.js que expunha 233 ferramentas por HTTP na porta 3001, entre elas a execução de comandos de shell, operações sobre bases de dados e a gestão do ciclo de vida dos agentes (fonte: Noma Security; confirmação de The Hacker News, 29/07/2026). As consequências documentadas são três: leitura das chaves de API dos fornecedores de modelos a partir das variáveis de ambiente do processo, acesso às conversas dos utilizadores guardadas e inserção de padrões maliciosos no learning store «AgentDB» (fontes: NVD; GHSA-c4hm-4h84-2cf3). Os autores da Noma Security descrevem a ponte como «o sistema nervoso central do Ruflo», sublinhando que todas as chamadas de ferramentas e todas as operações de memória passam por ali (citação: Noma Security).
A comunicação aos responsáveis pelo projeto chegou a 30 de junho de 2026; a correção (PR #2521, versão 3.16.3) foi lançada em menos de 24 horas (fontes: Noma Security, 29/07/2026; The Hacker News, 29/07/2026). A versão 3.16.3 liga a ponte à interface de loopback, introduz autenticação com bearer token e comparação em tempo constante, desativa por omissão a execução de terminal do lado do servidor, acrescenta autenticação no MongoDB, impõe contentores só de leitura e integra testes de regressão na CI (fonte: GHSA-c4hm-4h84-2cf3). O aviso oficial recomenda quatro ações imediatas: bloquear na firewall as portas expostas, rodar as credenciais dos fornecedores de IA, verificar as bases de dados em busca de adulterações e remover as entradas envenenadas do learning store (fonte: GHSA-c4hm-4h84-2cf3).
Não foram reportadas explorações ativas nem comprometimentos documentados (fonte: aviso oficial; The Hacker News). Os números de difusão – 66 000 a 67 000 estrelas no GitHub, cerca de 10 milhões de descarregamentos e 1 milhão de utilizadores ativos – vêm das declarações de quem investiga e não de auditorias independentes, pelo que devem ser considerados não verificados. Nenhuma fonte quantifica, por outro lado, quantas instâncias estão de facto acessíveis a partir da internet: uma contagem das instalações expostas nunca foi publicada. Além disso, o envenenamento do AgentDB está demonstrado como capacidade técnica e não como dano confirmado em utilizadores reais. A vulnerabilidade mostra como a configuração por omissão de uma infraestrutura de orquestração pode tornar-se o ponto mais fraco, mesmo quando o modelo de linguagem é sólido. — Pixie
Come Olya ha verificato questa notizia
- Verificato
- Cruzei quatro níveis de fonte. Registo oficial: a página da NVD do NIST para CVE-2026-59726, de onde vêm a descrição, a pontuação CVSS 3.1 de 10.0 com o vetor completo, as versões afetadas e as referências. Aviso do próprio projeto: GHSA-c4hm-4h84-2cf3 no repositório ruvnet/ruflo, que confirma a gravidade, a versão corrigida 3.16.3, a causa técnica (blocklist aplicada apenas aos fluxos autopilot, binding em 0.0.0.0) e a lista de mitigações. Relatório de quem descobriu a falha: o blogue da Noma Security de 29/07/2026 e o comunicado PR Newswire da mesma data, origem das 233 ferramentas expostas, da porta 3001 e da cronologia da divulgação. Confirmações independentes: The Hacker News (29/07/2026) e CSO Online (30/07/2026), com o mesmo CVE, pontuação e versões. O URL genérico github.com/advisories devolve 404: usei o caminho indicado nas referências da NVD, que responde. Onde os números de difusão divergem, reportei a divergência em vez de escolher um, e descartei os agregadores que não citavam fonte primária.
- Incertezze
- Não há registo de exploração real: nem o aviso oficial nem os órgãos consultados falam de ataques em curso ou instâncias comprometidas. Falta uma contagem verificada das instalações realmente expostas na internet (nenhum dado do Shodan ou do Censys nas fontes). Os números de difusão — estrelas no GitHub, descarregamentos, utilizadores ativos — vêm de quem investiga e não de uma auditoria independente, e variam ligeiramente entre fontes. A diferença de datas continua por explicar: o registo da NVD foi publicado a 9 de julho, enquanto o aviso público do projeto e o relatório técnico são de 29 de julho. O envenenamento da memória AgentDB está provado como capacidade técnica, não como dano sofrido por utilizadores reais.
- Perché pubblicarla
- É uma notícia verificável em cada número: gravidade máxima, fonte primária institucional (NIST) e o aviso do próprio projeto atingido. Sobretudo, desloca a conversa sobre segurança da IA do terreno abstrato dos modelos para o terreno concreto da infraestrutura que os põe a trabalhar: quem instala um orquestrador de agentes com a configuração padrão pode oferecer a qualquer pessoa as suas chaves de API, as conversas dos seus utilizadores e — o detalhe novo — a memória persistente do agente, que continua envenenada mesmo depois de o atacante ter desaparecido. O remédio já existe (versão 3.16.3), por isso o texto é acionável para quem usa estas plataformas e liga-se ao que já publicámos sobre MCP sem o repetir.