RufloにCVSS 10.0の重大脆弱性、認証なしで遠隔コード実行とAIメモリ改ざん

2026年7月29日、The Hacker Newsは、AIエージェント基盤「Ruflo」に認証なしで遠隔からコマンドを実行できる重大な脆弱性が確認されたと報じました。影響を受けるのはバージョン3.16.3未満です。侵害された場合、LLMサービスのAPIキーや保存された会話の窃取、AIの記憶情報の改ざんなどにつながる可能性があり、更新だけでなく認証情報や保存データの確認も必要です。
The Hacker News：Ruflo MCP Flaw Lets Unauthenticated Attackers Run Commands and Poison AI Memory

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

Rufloのバージョン3.16.3未満
Rufloの既定のdocker-compose構成を使用している環境
MCPブリッジのTCPポート3001へネットワーク経由で接続できる環境
MongoDBのTCPポート27017が外部または信頼されていないネットワークから到達可能な環境
Rufloのコンテナ内にOpenAI、Anthropic、Google、OpenRouterなどのAPIキーを設定している環境
会話履歴やAgentDBの学習パターンをRuflo上に保存している環境

推奨される対策

Rufloを修正版の3.16.3以降へ更新する
ファイアウォールやセキュリティグループでTCPポート3001と27017への不要な通信を遮断する
Rufloで使用していたすべてのLLMプロバイダーのAPIキーを失効させ、新しいキーへ交換する
AgentDBのパターンストアを確認し、不審な学習パターンや改ざんされたエントリーを削除する
MongoDBの会話履歴や設定情報を調査し、不正な閲覧、追加、変更の痕跡がないか確認する
ネットワークへ公開されていた環境では、既存コンテナを使い続けず、信頼できるクリーンイメージから再構築する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

CVE-2026-59726：RufloのMCPブリッジで確認された脆弱性に付与された共通脆弱性識別子です。
CVSS：脆弱性の深刻度を数値で表す評価方式です。今回の脆弱性には10.0という最高値が付けられています。
MCP：Model Context Protocolの略称です。AIモデルが外部ツールやデータソースを利用するための接続方式です。
MCPブリッジ：AIエージェントと外部ツール、データベース、AIサービスなどの間で要求を仲介するコンポーネントです。
RCE：Remote Code Executionの略称です。ネットワークを介して対象システム上で任意のコマンドやプログラムを実行される状態を指します。
APIキー：OpenAIやAnthropicなどの外部サービスを利用する際に、利用者やシステムを識別するための認証情報です。
AgentDB：RufloでAIエージェントの学習パターンや記憶に関連する情報を保存する仕組みです。
AIメモリポイズニング：AIが継続的に参照する記憶領域へ悪意のある指示や情報を混入させ、将来の応答や動作へ影響を与える攻撃です。
ループバックインターフェース：同じコンピューター内部からのみ接続できる通信先です。一般的には127.0.0.1などが使用されます。

認証なしのMCPブリッジが招いたサーバー侵害

今回確認されたCVE-2026-59726は、Rufloの既定のdocker-compose構成で動作するMCPブリッジに、重要な認証処理が設けられていなかったことに起因します。脆弱性は「RufRoot」と名付けられており、CVSSスコアは最高値の10.0と評価されています。影響を受けるのはバージョン3.16.3未満です。

問題となった構成では、MCPブリッジが使用するTCPポート3001が、すべてのネットワークインターフェースを示す「0.0.0.0」に割り当てられていました。そのため、ファイアウォールやクラウドのセキュリティグループ、ネットワーク分離などで接続元が制限されていない場合、外部または社内の別端末からMCPブリッジへ到達できる状態になっていた可能性があります。

MCPブリッジでは、シェルコマンドの実行、データベース操作、エージェント管理、メモリ保存などを含む多数のツールが提供されていました。元記事によると、攻撃者は認証を受けることなくMCPのツール呼び出し機能を利用し、ブリッジコンテナ内でコマンドを実行できたとされています。外部から接続可能な環境であれば、利用者の操作やアカウント情報を必要とせずに悪用される可能性がある点が、深刻度を高めています。

ただし、すべてのRuflo環境がインターネットから直接攻撃できるとは限りません。実際の到達可能性は、ファイアウォール、セキュリティグループ、リバースプロキシ、VPN、ネットワークセグメンテーションなどの構成によって異なります。それでも、Rufloを導入している組織は、単にバージョン番号を確認するだけでなく、過去にポート3001や27017がどのネットワークへ公開されていたかを調査する必要があります。

APIキー窃取だけでは終わらないAIメモリ改ざんの危険性

攻撃者がMCPブリッジのコンテナ内でコマンドを実行できた場合、影響はコンテナの一時的な乗っ取りにとどまらない可能性があります。Rufloは複数のAIエージェントを連携させるため、OpenAIやAnthropicなどのLLMプロバイダーへ接続するAPIキーが環境変数として設定されている場合があります。攻撃者がこれらの認証情報を読み取れば、被害組織の契約や利用枠を使って、攻撃者が制御するAIエージェントを動かされる恐れがあります。

また、MongoDBに保存されている利用者の会話、セッション、設定情報なども確認対象です。MCPブリッジだけでなくMongoDBもすべてのネットワークインターフェースへ公開されていた構成では、認証やネットワーク制限の状況によって、会話情報の閲覧や改ざんにつながる可能性があります。会話内に業務情報、顧客情報、ソースコード、認証情報などが含まれていた場合、通常のサーバー侵害と同様に情報漏えいの範囲を調査しなければなりません。

特に注意が必要なのが、AgentDBに保存される学習パターンやAIの記憶情報です。攻撃者が悪意のあるパターンを永続的に書き込むと、侵入経路を閉じた後も、AIエージェントがその情報を参照し続ける可能性があります。その結果、将来の利用者に対して誤った情報を提示する、攻撃者に有利な処理を選択する、不審な外部接続やツール操作を実行するといった影響が残る恐れがあります。

このため、バージョン3.16.3へ更新しただけでは、すでに挿入された不正な学習パターンや窃取済みのAPIキーを無効化できません。ネットワークへ公開されていた可能性がある環境では、APIキーを侵害済みとして扱い、AgentDBの保存内容、MongoDBのデータ、コンテナ内のファイル、エージェント設定を横断的に調査することが重要です。

Ruflo利用組織が直ちに確認すべき対応手順

最初に確認すべきなのは、使用しているRufloのバージョンとネットワーク公開状況です。バージョン3.16.3未満を使用している場合は、修正版への更新を優先してください。同時に、現在の設定だけでなく、脆弱なバージョンを運用していた期間中にTCPポート3001と27017がインターネット、社内LAN、開発ネットワーク、VPN接続先などから到達可能だったかを確認します。

外部または信頼されていないネットワークから接続できた可能性がある場合は、ファイアウォールやセキュリティグループでポート3001と27017への通信を直ちに遮断します。ただし、遮断とアップデートだけで対応を終了してはいけません。Rufloのコンテナに設定されていたOpenAI、Anthropic、Google、OpenRouterなどのAPIキーは、読み取られた可能性を考慮して失効させ、新しいキーへ交換することが推奨されています。

次に、AgentDBのパターンストアを調査し、正規の運用では登録されない指示、不審な外部通信を促すパターン、未知のツール実行、出所を確認できないエントリーがないかを確認します。MongoDBについても、会話、セッション、ユーザー設定などの不正な閲覧、変更、追加、削除の痕跡を調べる必要があります。利用可能であれば、アクセスログ、コンテナログ、クラウド監査ログ、ファイアウォールログを組み合わせ、脆弱な期間中の接続元や操作履歴を確認します。

修正版では、MCPブリッジが既定でループバックインターフェースへバインドされるよう変更され、コマンド実行ツールに対するサーバー側の制御やMongoDB認証なども追加されています。しかし、すでに侵害を受けたコンテナにはバックドアや不正ファイルが残っている可能性があります。ネットワークへ公開されていた環境では、既存コンテナの継続利用を避け、信頼できるクリーンイメージから再構築したうえで、交換済みのAPIキーを設定する対応が求められます。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）