בקובץ compose.yaml שפרויקט Letta מפרסם בעצמו חסרה שורה אחת, LETTA_SERVER_SECURE. בלעדיה השרת לא מוסיף את שכבת בדיקת הסיסמה, וכל נתיב ב-API נפתח בלי הזדהות, כולל אחד שמריץ קוד Python. ב-NVD הרשומה מופיעה בציון 9.8, והיא אחת משש שהתפרסמו תוך יממה.

סקירה כללית

Letta, DB-GPT, Langchain-Chatchat, piflow ו-Cognition הן פלטפורמות שמריצות סוכן AI מול המשתמש. אתם שולחים הודעה, המודל מחליט מה לעשות, ובצד השני מחכים לו כלים אמיתיים. אחד מהם הוא כמעט תמיד הרצת פקודות, בלעדיו הסוכן לא שימושי.

הכשל שחוזר בכולן אינו באג בקוד. ההגדרה שהפרויקט עצמו מפיץ משאירה את ה-API בלי אימות, והכלי שמריץ פקודות רשום ומחכה מעבר לו, כך שכל מי שמגיע לפורט הופך למפעיל של הסוכן. NVD מסמנת את שני צדי הכשל כ-Missing Authentication (CWE-306) וכהגדרת ברירת מחדל לא מאובטחת (CWE-1188).

מזהה: CVE-2026-77936
סוג: הגדרת ברירת מחדל לא מאובטחת (CWE-1188)
מוצר: Letta, פלטפורמה לסוכני AI עם זיכרון מתמשך
גרסאות מושפעות: 0.16.8 ומטה
גרסה מתוקנת: אין. התיקון הוא בהגדרות ההתקנה
ניצול בפועל: לא, אינה ברשימת ה-KEV של CISA

ציר זמן

19 באוקטובר 2026: VulnCheck, בתפקיד ה-CNA, מפרסמת את ההתראות על שש החולשות והקרדיט בהן הוא לנוי פרל, מיכאל סרומין ואופיר דרור מ-Lasso Security, חברת אבטחת AI מתל אביב.
19 באוקטובר 2026: NVD מפרסמת את הרשומה על Cognition, היחידה בשש שיש לה גרסת תיקון מוגדרת, 0.13.0.
20 באוקטובר 2026: חמש הרשומות הנותרות מתפרסמות ב-NVD בתוך עשר שניות, piflow, Langchain-Chatchat, שתיים ב-DB-GPT ואחת ב-Letta.

איך הניצול עובד

אין כאן מטען ואין שרשור שלבים. התוקף מגיע ל-API, שולח הודעה לסוכן, והסוכן עושה את השאר. ב-piflow הוא מבקש מהסוכן לקרוא לכלי exec_shell, שמריץ את הפקודה דרך subprocess.run בלי אישור אנושי ובלי רשימת היתר, ומשם יוצאים גם מפתחות ה-API של המודלים. ב-Langchain-Chatchat אפילו לא צריך לשכנע את המודל: ה-endpoint שמפעיל כלים מקבל שם של כלי ומריץ אותו, וכלי ה-shell רשום שם תמיד. ב-DB-GPT הפונקציה שאמורה לזהות מי שלח את הבקשה נשארה מימוש זמני (mock) שמחזיר לכל קורא את תפקיד המנהל, ולכן ה-code_interpreter רץ כ-root בתוך הקונטיינר.

מה שמשותף לכולן הוא מי מריץ בסוף. לא התוקף, אלא הסוכן, בהרשאות שהמפעיל נתן לו.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

הציון הגבוה מגיע משילוב אחד: הגישה מהרשת, בלי הרשאות ובלי שמישהו בצד השני ילחץ על משהו, והתוצאה בסוף היא הרצת קוד. הציון הוא של VulnCheck בתפקיד ה-CNA, כי ל-NVD אין עדיין ניתוח משלה לאף אחת מהשש, ובסולם CVSS 4.0 חמש מהן עומדות על 9.3 ו-Cognition על 9.2.

איפה למצוא Proof of Concept (PoC)

ההתראה של Lasso Security על CVE-2026-77936 היא הפירוט הטכני המלא, עם שורות הקוד, קובץ ההתקנה שבו הכל מתחיל, ורצף הדגמה מלא. ההתראה המקבילה של VulnCheck מרכזת את הווקטורים לשש הרשומות.

מי שהרים אחת מהפלטפורמות האלה והשאיר אותה דולקת על כתובת פומבית לא צריך לחכות לגרסה מתוקנת. בחמש מהשש אין כזו, ומה שכן יש הוא משתנה סביבה אחד שצריך להדליק ופורט שאפשר לסגור.