El 16 de octubre se publicó CVE-2026-96620, una falla crítica (CVSS v4.0 de 9.2) en el Claude Agent SDK para Python: una opción pensada para reanudar sesiones podía convertirse en un camino para ejecutar comandos fuera de los controles de permisos del SDK.
Cómo funciona la vulnerabilidad
Según el registro de OSV (aviso GHSA-h4mw-j7qp-8mwm), antes de la versión 0.2.121 el SDK pasaba la opción resume a la CLI de Claude como un argumento separado, sin validarla. Si el valor empieza con un guion, la CLI lo interpreta como un flag independiente. Un atacante puede inyectar --mcp-config para definir un servidor MCP de tipo stdio, que ejecuta comandos arbitrarios al arrancar la CLI, y eso ocurre fuera de los controles de permisos del SDK.
Es un caso clásico de inyección de argumentos (CWE-88), junto con CWE-20 y CWE-78. Lo interesante para agentes: el atacante no necesita engañar al modelo con un prompt; basta con que la aplicación reenvíe al SDK un identificador de sesión que vino del exterior.
Quién está afectado y cuál es la corrección
La condición clave es que la aplicación pase entrada no confiable como session ID a resume. Un script interno que solo reanuda sesiones generadas por él mismo no está expuesto por este camino; un servicio web que acepta el session ID desde un parámetro de URL, un cuerpo JSON o un cliente externo, sí.
Qué se sabe (y qué no) sobre explotación
Según las bases de datos consultadas, hasta el 21 de octubre SecurityOnline no reportaba explotación confirmada y no se encontró un exploit público; la vulnerabilidad no figuraba en el catálogo KEV de CISA y su EPSS rondaba 0,58%. Son datos de terceros que pueden cambiar: verificá el estado actual antes de decidir la urgencia.
Qué significa para una empresa que construye agentes
1. Actualizá a 0.2.121 o superior en cualquier servicio que use el SDK de Python. Revisá con pip show claude-agent-sdk y en tu lockfile.
2. Nunca pases entrada externa directa a opciones del SDK. Validá los session IDs contra un formato esperado (por ejemplo UUID) o contra una tabla de sesiones propias, y rechazá cualquier valor que empiece con -.
3. Tratá la configuración de MCP como superficie de ejecución de código. Un servidor MCP stdio es un comando del sistema; limitá qué procesos puede lanzar el usuario del servicio y ejecutá el agente con privilegios mínimos.
4. Inventariá tus agentes. Esta falla encaja con un patrón repetido en 2026: los agentes fallan menos por el modelo y más por el código pegamento que les pasa parámetros.
Fuentes: OSV CVE-2026-96620 (modificado el 22 oct 2026) y agregadores de vulnerabilidades (OpenCVE, Vulert, SecurityOnline) para el estado de explotación.