CVE-2026-59726 RufRoot : CVSS 10.0 MCP IA Ruflo, agents compromis

Les faits

Le 30 juin 2026, les chercheurs de Noma Labs, division recherche de Noma Security, ont divulgué de manière responsable CVE-2026-59726 à l'équipe Ruflo. La faille, baptisée RufRoot par ses découvreurs, affecte le composant bridge MCP (Model Context Protocol) de Ruflo, une plateforme open source d'orchestration d'agents IA multi-joueurs utilisée pour déployer des essaims d'agents autonomes et des workflows conversationnels. La gravité est maximale : CVSS 10.0, le score le plus élevé de l'échelle. SecurityWeek, The Hacker News, Dark Reading et SC Media ont toutes couvert la divulgation.

La vulnérabilité tire son origine d'une erreur de configuration dans le fichier ruflo/docker-compose.yml livré par défaut. Dans cette configuration, le bridge MCP est lancé en exposant l'endpoint POST /mcp sur le port 3001 sans aucun mécanisme d'authentification : pas de token, pas de clé API, pas d'IP allowlist, pas de vérification d'en-tête HTTP. Simultanément, l'instance MongoDB utilisée comme base de données des agents (AgentDB) est liée à toutes les interfaces réseau sur le port 27017, là aussi sans authentification. Toute machine pouvant atteindre ces ports dispose d'un accès immédiat et complet à l'ensemble de la plateforme.

L'impact technique d'une exploitation réussie est catastrophique. Un attaquant envoyant une simple requête HTTP POST non authentifiée au port 3001 peut invoquer l'outil terminal_execute exposé via le bridge MCP, obtenant une exécution de commande arbitraire à l'intérieur du conteneur bridge. D'après l'analyse publiée par Noma Security sous le titre RufRoot: The MCP Bridge Vulnerability That Turns Agents Into Rogue Admins, la chaîne d'exploitation complète comprend : lecture du fichier .env pour exfiltrer toutes les clés API des fournisseurs LLM, accès à MongoDB pour lire et modifier l'historique des conversations et les patterns d'apprentissage de l'AgentDB, déploiement de backdoors persistants dans le conteneur, et effacement des traces via l'historique shell.

La dimension particulièrement préoccupante de RufRoot est l'empoisonnement de la mémoire des agents IA. Ruflo maintient un magasin de patterns persistants dans l'AgentDB qui influence le comportement futur de tous les agents déployés sur la plateforme. Un attaquant peut modifier ces patterns pour injecter des instructions malveillantes dans la mémoire à long terme des agents, les transformant en agents compromis qui exécuteront les intentions de l'attaquant lors d'interactions futures légitimes. Dark Reading a qualifié ce vecteur de première démonstration documentée d'une attaque de la chaîne d'approvisionnement applicable aux plateformes d'agents IA.

D'après les données publiées par AI Weekly, Ruflo exposait au moment de la divulgation 233 outils MCP distincts via son bridge non sécurisé, dont plusieurs permettaient directement l'exécution de commandes système. Plusieurs milliers d'instances Ruflo étaient déployées avec la configuration docker-compose par défaut, représentant une surface d'attaque significative. Le vecteur d'attaque est trivial : un seul HTTP POST suffit, sans token ni en-tête particulier.

Après la divulgation responsable du 30 juin 2026, l'équipe Ruflo a publié le correctif dans la version 3.16.3 en moins de 24 heures, liant le bridge MCP à l'interface loopback uniquement (127.0.0.1), ajoutant un contrôle d'accès obligatoire à l'outil terminal_execute, et activant l'authentification MongoDB par défaut. Un advisory public a été simultanément publié par Ruflo avec des mesures de remédiation détaillées incluant les IoCs recommandés à vérifier.

Selon SC Media, CVE-2026-59726 n'a pas été ajouté au catalogue KEV de la CISA à ce stade, et aucune exploitation in-the-wild confirmée n'a été rapportée avant la divulgation. Cependant, la nature de la faille et la disponibilité d'informations techniques très détaillées dans les rapports de Noma Security rendent une exploitation opportuniste imminente probable contre les instances non patchées.

Cette CVE illustre une problématique systémique dans l'écosystème des outils IA émergents : la course au déploiement rapide conduit souvent à des configurations Docker par défaut qui privilégient la facilité d'usage au détriment de la sécurité. Noma Labs souligne que ce pattern de vulnérabilité est récurrent dans les plateformes d'agents IA open source récentes, et appelle l'industrie à adopter des revues de sécurité systématiques des configurations de déploiement par défaut.

Impact et exposition

Toute instance Ruflo déployée avec la configuration docker-compose standard avant la version 3.16.3 et exposant les ports 3001 ou 27017 sur Internet est directement vulnérable. La condition d'exploitation est minimale : un simple accès réseau au port 3001. Les organisations utilisant Ruflo pour orchestrer des workflows IA en production — traitement de données sensibles, génération de contenu automatisée, automatisation de processus métier — sont particulièrement exposées.

Le vol des clés API LLM constitue une menace directe sur les budgets : des clés OpenAI ou Anthropic volées peuvent être utilisées pour générer des coûts d'utilisation massifs en quelques heures. La gravité financière s'ajoute au risque de fuite de données (conversations, contextes métier, données personnelles traitées par les agents) et au risque réputationnel lié à des agents compromis prenant des actions non autorisées au nom de l'organisation.

L'empoisonnement de l'AgentDB est particulièrement difficile à détecter après coup : les modifications des patterns persistants s'intègrent progressivement dans le comportement des agents sans déclencher d'alertes évidentes. Une instance compromise mais non identifiée pourrait continuer à fonctionner pendant des semaines avec des agents dont le comportement a été subtilement altéré. Selon Dark Reading, les méthodes de détection basées sur les anomalies de trafic réseau sont insuffisantes pour identifier cette forme de compromission.

Les entreprises ayant souscrit à des abonnements LLM via des tiers ou utilisant des clés API mutualisées pour leurs déploiements Ruflo doivent traiter cette situation comme une compromission potentielle de leurs crédentiels, même en l'absence de preuve directe d'exploitation.

Recommandations immédiates

• Mettre à jour vers Ruflo 3.16.3 — advisory : Ruflo Security Advisory CVE-2026-59726 (Noma Security, RufRoot disclosure)
• Fermer immédiatement les ports 3001 (MCP bridge) et 27017 (MongoDB) au niveau du pare-feu réseau ou des security groups cloud, même sur les instances déjà patchées
• Effectuer une rotation immédiate de toutes les clés API LLM et vérifier dans les dashboards fournisseurs l'absence d'utilisation anormale
• Auditer le magasin AgentDB pour détecter des patterns injectés : comparer avec un snapshot connu ou réinitialiser l'AgentDB si une compromission est suspectée
• Inspecter les logs MongoDB pour toute connexion non autorisée et les logs du bridge MCP pour des appels à terminal_execute non initiés par des agents légitimes
• Activer l'authentification MongoDB et restreindre le bind du bridge MCP à l'interface loopback (127.0.0.1) dans le docker-compose.yml même sur les versions antérieures