Investigadores en ciberseguridad han alertado sobre una vulnerabilidad de máxima gravedad en Ruflo, un marco de meta-orquestación de agentes de código abierto para Anthropic Claude Code y OpenAI Codex, que podría resultar en la ejecución remota de código sin autenticación.
La vulnerabilidad, rastreada como CVE-2026-59726 (puntuación CVSS: 10.0), afecta a todas las versiones del proyecto anteriores a la 3.16.3. Ha sido denominada RufRoot por el equipo de investigación de Noma Security, Noma Labs.
Originalmente lanzado como Claude Flow, Ruflo es una plataforma de orquestación multi-agente de IA que permite a los usuarios desplegar enjambres multi-jugador, coordinar flujos de trabajo autónomos y construir sistemas conversacionales de IA. El proyecto cuenta con más de 66.500 estrellas en GitHub.
El núcleo de la vulnerabilidad radica en que Ruflo exponía 233 herramientas, incluyendo ejecución de comandos de shell, operaciones de base de datos, gestión de agentes y almacenamiento de memoria, a través de un puente del Protocolo de Contexto de Modelo (MCP) sin autenticación y abierto a la red por defecto.
Específicamente, el archivo de configuración YAML "docker-compose.yml" vinculaba el puerto 3001 a 0.0.0.0 por defecto, exponiendo el puente en todas las interfaces de red. Dicho esto, el grado de exposición depende de las reglas de firewall, grupos de seguridad y segmentación de red del despliegue. Cabe señalar que cualquier instancia accesible por red es completamente explotable sin autenticación.
Como resultado, una única solicitud HTTP POST sin autenticación al puerto 3001 hacía posible obtener ejecución remota de código completa dentro de un despliegue vulnerable de Ruflo, según el investigador de seguridad Eli Ainhorn.
Con este punto de apoyo, un atacante podría extraer las claves API que Ruflo utiliza para interactuar con proveedores de modelos de lenguaje grandes (LLM), leer cada conversación de usuario almacenada en la plataforma e interferir con la memoria del sistema de IA para influir en las respuestas y el comportamiento del modelo.
En otras palabras, la ejecución de comandos sirve como trampolín para un compromiso total, permitiendo el robo de claves API de LLM, la weaponización de agentes, el envenenamiento de la memoria de IA, la recolección de conversaciones y el despliegue persistente de puertas traseras mediante la escritura de una carga maliciosa en el directorio "/app".
"Antes de la versión 3.16.3, el despliegue predeterminado de docker-compose de Ruflo exponía los endpoints POST /mcp y POST /mcp/:group del puente MCP sin autenticación, permitiendo a un atacante de red no autenticado invocar tools/call para terminal_execute, obtener un shell en el contenedor del puente, leer las claves API del proveedor y envenenar los patrones de aprendizaje de AgentDB", según una descripción de la falla en la Base de Datos Nacional de Vulnerabilidades (NVD) de NIST.
Tras la divulgación responsable el 30 de junio de 2026, el mantenedor del proyecto, Reuven Cohen, implementó una corrección en 24 horas. Como parte del parche, el puente MCP ahora se vincula a la interfaz de loopback por defecto, protege "terminal_execute" mediante controles del lado del servidor en executeTool y habilita la autenticación de MongoDB para prevenir el robo de conversaciones, entre otras medidas.
"El puente MCP incluido en ruflo/docker-compose.yml exponía POST /mcp sin autenticación", dijo Cohen en las notas de la versión. "Los valores predeterminados de docker-compose vinculaban el puente y MongoDB a todas las interfaces. Combinado, un atacante de red no autenticado podía invocar tools/call → terminal_execute dentro del contenedor del puente, obtener un shell, leer cada clave API del proveedor desde el entorno del contenedor, desplegar enjambres controlados por el atacante usando las claves de la víctima y persistir un patrón envenenado en el almacén de aprendizaje de AgentDB que desvía las salidas futuras de la IA."
Se recomienda a los operadores que ejecuten una instancia expuesta cerrar inmediatamente los puertos de firewall 3001 y 27017, rotar todas las claves API de LLM, auditar el almacén de patrones de AgentDB en busca de entradas inyectadas y revisar MongoDB en busca de signos de manipulación.
"La vulnerabilidad de Ruflo permitía desplegar un enjambre de agentes para hacer lo que el atacante quisiera e incluso manipular la memoria de la IA", dijo Noma. "La capacidad de escribir instrucciones maliciosas en la memoria persistente de IA de una plataforma significa que un atacante puede influir en las respuestas que la IA da a cada usuario futuro de la plataforma, mucho después de que haya terminado la intrusión original".
"Para las organizaciones expuestas a una vulnerabilidad como esta, la remediación requiere más que una actualización de software. Las credenciales del proveedor de IA deben tratarse como comprometidas y rotarse, la memoria de IA de la plataforma debe auditarse en busca de manipulaciones y los contenedores deben reconstruirse desde una imagen limpia".
- Cerrar los puertos de firewall 3001 y 27017.
- Rotar todas las claves API de LLM.
- Auditar el almacén de patrones de AgentDB.
- Revisar MongoDB en busca de signos de manipulación.
- Reconstruir contenedores desde una imagen limpia.
