Cinco avisos de seguridad publicados entre el 20 y el 22 de octubre de 2026 afectan a componentes de Strands Agents, LangGraph, FastMCP y MLflow. Los recuperamos el 27 de octubre por su utilidad para quienes operan agentes con varios usuarios, servidores MCP o evaluación de modelos. No son cinco fallos anunciados hoy ni afectan automáticamente a cualquier aplicación que use estas bibliotecas.
La decisión práctica empieza por identificar qué componente, versión y configuración están instalados. En particular, el parche de OAuth de FastMCP requiere fijar el emisor esperado: actualizar el paquete dejando intacta la configuración no basta para obtener esa protección.
Strands: separar las conversaciones del servidor A2A
El aviso de Strands del 22 de octubre, CVE-2026-115419, describe un fallo del servidor Agent2Agent, o A2A, utilizado para comunicar agentes. Bajo ciertas condiciones compartía historial entre llamadas con distintos context_id. Un usuario autenticado podía leer o influir en la conversación de otro.
Afecta a las versiones de Python que contienen el módulo multiagent.a2a anteriores a strands-agents 1.43.0, y a @strands-agents/sdk anterior a 1.5.0 en TypeScript. El arreglo utiliza una fábrica de agentes para separar el estado por contexto. Al migrar una integración propia hay que revisar cómo construye el servidor, además de su versión.
Hasta actualizar, el aviso recomienda no exponer un mismo servidor A2A a varios usuarios o clientes; si necesitan acceso, usar instancias separadas. No presenta un cambio de configuración que solucione completamente el fallo en las versiones afectadas.
LangGraph: los nombres no bastaban para aislar datos
El aviso de LangGraph del 21 de octubre, CVE-2026-115883, trata de los almacenes Postgres y SQLite. Al unir etiquetas con puntos, dos estructuras distintas podían representar el mismo espacio de nombres. Algunas rutas de lectura, borrado y operaciones por lotes no validaban las etiquetas como lo hacía la escritura ordinaria.
Importa cuando se confía en esos espacios para separar usuarios y una entrada no fiable puede elegir una etiqueta. Los parches son langgraph-checkpoint-postgres 3.1.3 y langgraph-checkpoint-sqlite 3.1.2; ambos requieren langgraph-checkpoint 4.3.0. InMemoryStore, que compara tuplas, no está afectado por este fallo.
La documentación también distingue el servicio gestionado de una instalación propia: nuevas revisiones de LangSmith Cloud incluyen el arreglo, mientras que los despliegues existentes lo reciben en su siguiente revisión. Quien se aloja por su cuenta debe revisar sus actualizaciones. Nuestro artículo de aprobaciones versionadas en LangGraph aborda otra capa del control del agente, sin sustituir este parche de almacenamiento.
FastMCP: dos problemas con condiciones distintas
El primer aviso del 20 de octubre explica que una consulta directa podía devolver un componente transformado sin volver a comprobar su autorización final. Afecta a configuraciones con autorización de componentes y transformaciones, o recursos protegidos que coinciden con plantillas proxy. Los parches para fastmcp y fastmcp-slim son 3.4.10 en la rama 3.x y 4.1.2 en la rama 4.x; los rangos afectados empiezan en 3.0.0 y 4.0.0, respectivamente.
El segundo aviso de FastMCP, también del 20, afecta a los proveedores OAuth ClientCredentialsOAuthProvider y PrivateKeyJWTOAuthProvider, introducidos en 4.0.0a1. Un servidor MCP no fiable o comprometido podía anunciar otro servidor de autorización y recibir un secreto del cliente o una aserción firmada. Las claves de firma privadas permanecen locales: no hay que confundirlas con la aserción que se transmite.
La solución en 4.1.2, con MCP SDK 2.2.0, añade issuer. Hay que configurarlo con el identificador del emisor que entregó las credenciales. Omitirlo sigue permitido por compatibilidad y genera una advertencia. El aviso aconseja rotar los secretos o credenciales reutilizables que puedan haberse enviado a un destino no fiable. La rama 3.x no incluye estos proveedores y no comparte este segundo alcance.
MLflow: peticiones de red a través de evaluadores opcionales
El aviso de MLflow del 22 de octubre, CVE-2026-115886, afecta al servidor de seguimiento con los paquetes opcionales trulens y trulens-providers-litellm instalados. Un atacante sin autenticar podía provocar una petición HTTP del servidor a un destino elegido por él, incluso accesible desde su red interna. Es un fallo de peticiones falsificadas desde el servidor, conocido como SSRF.
El rango indicado es desde 3.12.0rc0 hasta antes de 3.17.0; el parche es 3.17.0. No se debe extrapolar ese escenario a cualquier uso local de MLflow. La observabilidad con MLflow ayuda a entender el papel de las trazas, pero no acredita que un servidor esté protegido.
Qué comprobar después de actualizar
En un ejemplo hipotético, un equipo con dos clientes probaría que sus conversaciones y datos siguen separados, que las transformaciones conservan la autorización prevista y que el cliente OAuth verifica el emisor correcto. Ese control debe hacerse en un entorno de pruebas y con datos de prueba. No lo hemos ejecutado ni afirmamos que haya ocurrido explotación en una instalación concreta.
Descubrimos el conjunto mediante la investigación de Corgea y contrastamos fechas, versiones y condiciones con los avisos de los mantenedores. Son esos originales los que permiten distinguir una actualización de paquete de una migración de configuración.