Noma Labs ha pubblicato la propria ricerca il 29 luglio su una vulnerabilità che chiama RufRoot — CVE-2026-59726 — nel bridge MCP distribuito con Ruflo, un meta-harness per agenti con circa 66.000 stelle su GitHub, in precedenza chiamato Claude Flow. GitHub, in qualità di CNA, le ha assegnato un punteggio di 10.0. Il NVD non ha ancora pubblicato un proprio punteggio.
La catena
Un singolo POST HTTP non autenticato a /mcp sulla porta 3001 raggiunge tools/call, che raggiunge terminal_execute, cioè una shell. Da lì: chiavi API dei provider dall’ambiente e accesso in scrittura alla conoscenza memorizzata dell’agente. La configurazione predefinita di Docker Compose esponeva 233 strumenti distinti tramite quella interfaccia — esecuzione di shell, operazioni di database, gestione del ciclo di vita dell’agente, archiviazione della memoria. Il blocco dei comandi esisteva solo nei flussi di autopilota, lasciando i punti finali POST senza protezione.
Già risolta — quattro settimane fa
Non si tratta di una zero-day. Noma ha divulgato privatamente il problema il 30 giugno; la versione 3.16.3 è stata rilasciata entro circa un giorno, il 1° luglio, e il CVE è stato pubblicato il 9 luglio. Il bridge corretto si lega a localhost, richiede un token di autenticazione o si rifiuta di avviarsi, e rende facoltativa l’esecuzione nel terminale.
La parte che sopravvive alla patch
Questa è la scoperta davvero nuova. Gli attaccanti potevano avvelenare i pattern nell’AgentDB learning store — e l’aggiornamento non li rimuove. Una distribuzione compromessa prima della correzione continua a servire un comportamento dell’agente alterato anche dopo, da una versione che si presenta come corretta. La rimedio quindi richiede la rotazione delle credenziali e un audit o la cancellazione della conoscenza memorizzata, non solo l’aggiornamento della versione.
Portata
Non è stata osservata alcuna exploitation nel mondo reale e non è stato pubblicato alcun conteggio delle istanze esposte.