Auf den Punkt: CVE-2026-59726 (CVSS 10.0) in Ruflo-Versionen vor 3.16.3 erlaubt unbegrenzte Codeausführung ohne Authentifizierung.
Eine Schwachstelle mit maximalem Schweregrad in Ruflo, einer Open-Source-Orchestrierungslösung für Claude Code und OpenAI Codex, ermöglicht unauthentifizierten Angreifern Remote Code Execution. Die Lücke betrifft alle Versionen vor 3.16.3.
Cybersecurity-Forscher haben eine Schwachstelle mit Höchststufe im Ruflo-Projekt identifiziert. Ruflo ist ein Open-Source-Agent-Meta-Harness zur Orchestrierung von Anthropic Claude Code und OpenAI Codex. Die Lücke trägt die Kennzeichnung CVE-2026-59726 und weist einen CVSS-Score von 10.0 auf — die höchstmögliche Bewertung für kritische Sicherheitsmängel.
Die Schwachstelle betrifft alle Versionen von Ruflo vor der Version 3.16.3. Sicherheitsforscher von Noma Security haben die Lücke mit dem Codenamen RufRoot bezeichnet. Sie ermöglicht es Angreifern ohne Authentifizierung, beliebige Befehle auszuführen und damit potenziell den Speicherzustand des KI-Systems zu manipulieren.
Für CISOs bedeutet dies ein unmittelbares Risiko in Produktionsumgebungen, die Ruflo für die KI-Agent-Verwaltung einsetzen. Die Verfügbarkeit von PoC-Code und die fehlende Authentifizierung senken die Angriffsschwelle erheblich. Sofort sollte überprüft werden, welche Ruflo-Versionen im Einsatz sind, und ein Upgrade auf 3.16.3 oder neuer durchgeführt werden.
Quelle: thehackernews.com · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.