RosmarOps

RosmarOps Observatory

Seguridad de los agentes hoy: 4 de noviembre de 2026

Qué ha cambiado en la seguridad de los agentes de IA de programación que seguimos desde la última revisión, según sus fuentes oficiales y registros públicos. Hasta cinco cambios al día, una línea por cambio, con su fuente. También aparecen los días sin cambios.

  1. 3 de noviembre de 2026 · CKAN MCP Server · CVE-2026-76894

    CVE-2026-76894, publicado en NVD el 3 de noviembre de 2026, afecta a CKAN MCP Server antes de 0.4.112: su interfaz de tablas de DataStore acepta mensajes de ventana sin comprobar su origen.

    nvd.nist.gov

  2. 3 de noviembre de 2026 · Claude Code · CVE-2026-88968

    CVE-2026-88968, publicado en NVD el 3 de noviembre de 2026, afecta a Claude Code antes de 2.1.251 en macOS: código dentro del sandbox de Bash puede hacer que Edit sobrescriba ficheros fuera del espacio de trabajo.

    nvd.nist.gov

  3. 3 de noviembre de 2026 · SurrealDB · CVE-2026-121419

    CVE-2026-121419, publicado en NVD el 3 de noviembre de 2026, afecta a SurrealDB desde 3.1.0 hasta antes de 3.3.0: sus sesiones MCP quedan ligadas al método de acceso, no al usuario.

    nvd.nist.gov

  4. 3 de noviembre de 2026 · Instatic · CVE-2026-121458

    CVE-2026-121458, publicado en NVD el 3 de noviembre de 2026, afecta a Instatic antes de 0.0.21: sus herramientas MCP de lectura de contenido omiten la autorización por objeto y exponen filas de otros usuarios.

    nvd.nist.gov

  5. 4 de noviembre de 2026 · Claude Code

    Claude Code 2.1.318, fechado el 4 de noviembre de 2026 en su changelog, hace que las entradas por URL de deniedMcpServers bloqueen también servidores aportados por Anthropic cuya URL coincide y conectores en sesiones en la nube.

    code.claude.com

Hoy hemos revisado 27 de 28 fuentes. Sin revisar: Hermes Agent.

Qué hemos revisado

Según las fuentes oficiales de los fabricantes y registros públicos, cada línea con su fecha y su fuente. No es una garantía de seguridad ni un consejo.