CVE 2026 44338 expone PraisonAI con autenticación desactivada y acceso sin token a agentes

En las últimas semanas se confirmó que actores maliciosos comenzaron a explotar, en cuestión de horas, una falla de autenticación en PraisonAI, un marco open source para orquestación de agentes múltiples; la vulnerabilidad registrada como CVE‑2026‑44338 permite consultar puntos finales sensibles sin requerir token, siempre que el servidor heredado de Flask esté en uso.

La raíz técnica del problema es sencilla y preocupante: el servidor API legado, en src/praisonai/api_server.py, viene con AUTH_ENABLED = False y AUTH_TOKEN = None por defecto, lo que habilita el acceso a /agents y la posibilidad de disparar el flujo configurado en agents.yaml vía /chat sin autenticación. Según los mantenedores, esto afecta a las versiones de la librería Python desde la 2.5.6 hasta la 4.6.33 y fue corregido en la 4.6.34; el descubrimiento fue reportado por el investigador Shmulik Cohen.

La velocidad de los intentos de explotación es la lección más nítida: un escáner identificado como CVE‑Detector/1.0 empezó a consultar instancias expuestas a Internet apenas horas después de la divulgación pública; Sysdig documentó la primera petición dirigida al endpoint vulnerable a las 17:40 UTC del mismo día de la publicación, y observó dos pasadas de sondeo, la segunda focalizada ya en superficies de agentes de IA como PraisonAI. En los registros el GET /agents sin header Authorization devolvió 200 OK con el archivo agentes enumerado, lo que confirma el bypass.

Las implicaciones prácticas dependen del contenido de cada agents.yaml: desde la simple enumeración de la configuración hasta el desencadenamiento remoto de flujos que pueden consumir cuotas de modelos o APIs, revelar resultados de ejecuciones y, en entornos mal configurados, permitir movimientos laterales o exfiltración. El vector no requiere explotación creativa: basta con que el proceso legado esté accesible desde la red.

Para cualquier organización que use PraisonAI o despliegues basados en agentes similares, las prioridades inmediatas son claras: actualizar a la versión corregida (4.6.34 en este caso) o impedir el uso del servidor Flask legado; auditar y minimizar la exposición de endpoints de desarrollo o administración; y revisar los ficheros agents.yaml en busca de credenciales, hooks o accesos a servicios externos que deban rotarse. Además, conviene revisar la facturación y los registros de consumo en los proveedores de modelos por si hubo uso no autorizado.

Desde el punto de vista operativo, es importante no limitarse al parche: aplicar controles de red que restrinjan quién puede alcanzar los endpoints (firewall, reglas de seguridad de nube, acceso solo por VPN o localhost), instrumentar monitorización que busque patrones de sondeo (por ejemplo, GET a /agents sin Authorization o User‑Agent sospechosos) y establecer alertas sobre picos de consumo en APIs de modelos. También es prudente habilitar autenticación robusta y retirar por defecto cualquier servidor que arranque sin protección.

Si su despliegue ya fue escaneado, considere revocar y rotar todas las credenciales referenciadas en agents.yaml, auditar accesos y backups por posibles exfiltraciones, y buscar indicios de llamadas a /chat que puedan haber ejecutado workflows. Herramientas de detección de compromisos, análisis de logs y revisiones de configuración pueden reducir el riesgo de impactos severos.

Este episodio encaja en una tendencia más amplia: el ecosistema de herramientas y escáneres adversarios incorpora rápidamente vulnerabilidades públicas, con ventanas de explotación que a menudo se miden en horas. Por eso es imprescindible que los equipos de desarrollo y seguridad traten las configuraciones por defecto no seguras como incidentes potenciales y adopten principios de mínimo privilegio desde el diseño. Para orientación sobre buenas prácticas de autenticación y cómo cerrar estos vectores, consulte recursos como NVD del NIST y las recomendaciones de OWASP sobre autenticación.

La vulnerabilidad en PraisonAI recuerda que la velocidad de parcheo y la higiene operativa importan tanto como el parche técnico. Para más información sobre gestión de vulnerabilidades críticas y catálogos de explotación conocida, visite la página de CISA sobre vulnerabilidades explotadas en libertad y la base de datos de NVD. Implementar actualizaciones, segmentación de red y rotación de secretos debería ser parte de la respuesta inmediata de cualquier equipo que gestione agentes de IA.

NVD (NIST) y OWASP Authentication Cheat Sheet ofrecen buenas referencias para fortalecer controles de acceso, y la lista de CISA ayuda a priorizar parches frente a riesgos activos.