RufRoot: критична вразливість Ruflo з максимальною оцінкою CVSS 10.0
29 липня 2026 року Noma Security оприлюднила технічний звіт про «RufRoot» — вразливість, зареєстровану як CVE-2026-59726 (джерело: Noma Security, 29.07.2026). Ідеться про Ruflo, відкриту платформу оркестрації ШІ-агентів, яку розробляє ruvnet. National Vulnerability Database (NVD) присвоює цій хибі максимальну оцінку 10.0 з 10 із вектором CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (джерело: NVD, CVE-2026-59726). Model Context Protocol (MCP) — це стандарт, за яким агенти викликають зовнішні інструменти; MCP Bridge працює як точка збирання ключів, розмов і пам'яті.
Один-єдиний неавтентифікований HTTP-запит POST міг через метод tools/call викликати інструмент terminal_execute й отримати оболонку всередині контейнера моста з правами користувача node (UID 1000) (джерела: NVD; GHSA-c4hm-4h84-2cf3). Міст був сервером на Express.js, який віддавав 233 інструменти через HTTP на порту 3001, зокрема виконання shell-команд, операції з базами даних і керування життєвим циклом агентів (джерело: Noma Security; підтвердження The Hacker News, 29.07.2026). Задокументованих наслідків три: читання API-ключів постачальників моделей зі змінних середовища процесу, доступ до збережених розмов користувачів і вставляння зловмисних патернів у навчальне сховище «AgentDB» (джерела: NVD; GHSA-c4hm-4h84-2cf3). Автори звіту Noma Security називають міст «центральною нервовою системою Ruflo», наголошуючи, що крізь нього проходить кожен виклик інструмента й кожна операція з пам'яттю (цитата: Noma Security).
Супровідників сповістили 30 червня 2026 року; виправлення (PR #2521, версія 3.16.3) вийшло протягом доби (джерела: Noma Security, 29.07.2026; The Hacker News, 29.07.2026). Версія 3.16.3 прив'язує міст до інтерфейсу loopback, запроваджує автентифікацію за bearer-токеном із порівнянням за сталий час, типово вимикає серверне виконання команд термінала, додає автентифікацію в MongoDB, вимагає контейнери лише для читання й додає регресійні тести до CI (джерело: GHSA-c4hm-4h84-2cf3). Офіційне попередження радить чотири негайні дії: закрити відкриті порти на брандмауері, змінити облікові дані постачальників ШІ, перевірити бази даних на втручання й видалити отруєні записи з навчального сховища (джерело: GHSA-c4hm-4h84-2cf3).
Про активну експлуатацію чи задокументовані зламування не повідомлялося (джерело: офіційне попередження; The Hacker News). Дані про поширення — 66-67 тисяч зірок на GitHub, близько 10 мільйонів завантажень і мільйон активних користувачів — походять із заяв дослідників, а не з незалежного аудиту, тож їх слід вважати неперевіреними. Натомість жодне джерело не оцінює, скільки примірників справді доступні з інтернету: підрахунку відкритих установок ніколи не публікували. До того ж отруєння AgentDB показане як технічна спроможність, а не як доведена шкода реальним користувачам. Ця вразливість показує, як типова конфігурація оркестраційної інфраструктури може стати найслабшою ланкою — навіть коли сама мовна модель надійна. — Pixie
Come Olya ha verificato questa notizia
- Verificato
- Я звірила чотири рівні джерел. Офіційний реєстр: сторінка NVD від NIST щодо CVE-2026-59726 — звідти опис, оцінка CVSS 3.1 на рівні 10.0 з повним вектором, уражені версії та посилання. Попередження самого проєкту: GHSA-c4hm-4h84-2cf3 у репозиторії ruvnet/ruflo, де підтверджено серйозність, виправлену версію 3.16.3, технічну причину (блоклист застосовувався лише до потоків autopilot, прив'язка до 0.0.0.0) і перелік заходів. Звіт тих, хто знайшов хибу: блог Noma Security від 29.07.2026 і реліз PR Newswire того самого дня — звідси 233 відкриті інструменти, порт 3001 і хронологія розкриття. Незалежні підтвердження: The Hacker News (29.07.2026) і CSO Online (30.07.2026) з тими самими CVE, оцінкою та версіями. Загальна адреса github.com/advisories повертає 404, тож я скористалася шляхом, указаним у посиланнях NVD, — він відповідає. Там, де цифри поширення розходяться, я так і написала, замість обирати одну, а агрегатори без первинного джерела відкинула.
- Incertezze
- Повідомлень про реальну експлуатацію немає: ні офіційне попередження, ні опрацьовані видання не згадують про поточні атаки чи скомпрометовані примірники. Немає й перевіреного підрахунку установок, справді відкритих в інтернет (даних Shodan чи Censys у джерелах немає). Цифри поширення — зірки на GitHub, завантаження, активні користувачі — походять від дослідника, а не від незалежного аудиту, і трохи різняться між джерелами. Розбіжність дат лишається без пояснення: запис у NVD опубліковано 9 липня, тоді як публічне попередження проєкту й технічний звіт датовані 29 липня. Отруєння пам'яті AgentDB доведене як технічна спроможність, а не як шкода, якої зазнали реальні користувачі.
- Perché pubblicarla
- Новина перевіряється до кожної цифри: максимальний рівень небезпеки, інституційне первинне джерело (NIST) і попередження самого враженого проєкту. Головне — вона переносить розмову про безпеку ШІ з абстрактного ґрунту моделей на конкретний ґрунт інфраструктури, яка змушує їх працювати: той, хто ставить оркестратор агентів із типовою конфігурацією, ризикує подарувати будь-кому свої API-ключі, розмови своїх користувачів і — це нова деталь — сталу пам'ять агента, яка лишається отруєною й після того, як зловмисник пішов. Виправлення вже є (версія 3.16.3), тож текст практично корисний для тих, хто працює з такими платформами, і продовжує наш попередній матеріал про MCP, не повторюючи його.