Pesquisadores de cibersegurança identificaram uma falha de gravidade máxima no Ruflo, um agente open source do tipo meta-harness para o Anthropic Claude Code e o OpenAI Codex, que pode levar à execução remota de código sem autenticação.
A vulnerabilidade, catalogada como
CVE-2026-59726
e com pontuação CVSS 10,0, afeta todas as versões anteriores à 3.16.3.
Ela recebeu o codinome RufRoot pela equipe de pesquisa da Noma Security, a Noma Labs.
Lançado originalmente como Claude Flow, o Ruflo é uma plataforma de orquestração multiagente de IA e um harness que permite aos usuários implantar swarms com vários agentes, coordenar fluxos de trabalho autônomos e construir sistemas de IA conversacional.
O projeto soma mais de 66.500 estrelas no GitHub.
O ponto central da falha é que o Ruflo expunha 233 ferramentas, incluindo execução de comandos de shell, operações em banco de dados, gerenciamento de agentes e armazenamento de memória, por meio de uma ponte Model Context Protocol (MCP) sem autenticação, aberta à rede por padrão.
Em especial, o arquivo de configuração YAML “docker-compose.yml” foi encontrado vinculando a porta 3001 ao endereço 0.0.0.0 por padrão, o que expunha a ponte em todas as interfaces de rede.
Ainda assim, o grau de exposição depende das regras de firewall, dos grupos de segurança e da segmentação de rede do ambiente.
Vale destacar que qualquer instância acessível pela rede pode ser totalmente explorada sem autenticação.
Como resultado, um único HTTP POST sem autenticação para a porta 3001 permitia obter execução remota de código completa dentro de uma implantação vulnerável do Ruflo, segundo o pesquisador de segurança Eli Ainhorn.
```bash
curl -s -X POST https://<target>:3001/mcp -H "Content-Type: application/json" -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"ruflo__terminal_execute","arguments":{"command":"id && hostname"}}}'
```
Com esse ponto de apoio, um invasor poderia extrair as chaves de API que o Ruflo usa para interagir com provedores de modelos de linguagem de grande porte, ler todas as conversas de usuários armazenadas na plataforma e interferir na memória do sistema de IA para influenciar as respostas e o comportamento do modelo.
Em outras palavras, a execução de comandos funciona como uma porta de entrada para a invasão completa, permitindo roubo de chaves de API de LLM, uso ofensivo dos agentes, envenenamento da memória da IA, coleta de conversas e implantação persistente de backdoor por meio da gravação de um payload malicioso no diretório “/app”.
“Antes da 3.16.3, a implantação padrão do docker-compose do Ruflo expunha os endpoints POST /mcp e POST /mcp/:group da ponte MCP sem autenticação, permitindo que um invasor na rede, sem autenticação, acionasse tools/call para terminal_execute, obtivesse um shell no contêiner da ponte, lesse chaves de API de provedores e envenenasse padrões do AgentDB learning-store”, descreve a falha na National Vulnerability Database (NVD) do NIST.
Após a divulgação responsável em 30/06/2026, uma correção foi disponibilizada pelo mantenedor do projeto, Reuven Cohen, em menos de 24 horas.
Como parte do patch, a ponte MCP passou a se vincular à interface de loopback por padrão, o comando “terminal_execute” foi protegido por controles executeTool no servidor e a autenticação do MongoDB foi ativada para evitar o roubo de conversas, entre outras medidas.
“A ponte MCP incluída em ruflo/docker-compose.yml expunha o POST /mcp sem autenticação”, afirmou Cohen nas notas da versão.
“Os padrões do docker-compose vinculavam a ponte e o MongoDB a todas as interfaces.”
“Com isso, um invasor na rede, sem autenticação, poderia acionar tools/call → terminal_execute dentro do contêiner da ponte, obter um shell, ler todas as chaves de API de provedores no ambiente do contêiner, criar swarms controlados pelo atacante usando as chaves da vítima e gravar um padrão envenenado no armazenamento de aprendizado do AgentDB, alterando saídas futuras da IA.”
Operadores que executam uma instância exposta são recomendados a fechar imediatamente as portas 3001 e 27017 no firewall, rotacionar todas as chaves de API de LLM, auditar o armazenamento de padrões do AgentDB em busca de entradas injetadas agentdb_pattern-store e verificar o MongoDB em busca de sinais de adulteração.
“A vulnerabilidade do Ruflo permitia criar um swarm de agentes para fazer o que o atacante quisesse e até adulterar a memória da IA”, disse a Noma.
“A capacidade de gravar instruções maliciosas na memória persistente de IA de uma plataforma significa que um atacante pode influenciar as respostas que a IA fornece a todos os usuários futuros, muito depois de a intrusão original ter terminado.”
“Para organizações expostas a uma falha como essa, a correção exige mais do que uma atualização de software.
As credenciais do provedor de IA devem ser tratadas como comprometidas e rotacionadas, a memória de IA da plataforma deve ser auditada para verificar adulteração e os contêineres devem ser recriados a partir de uma imagem limpa.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...