01 · Contexto
Qué está ocurriendo
Hechos verificados. AWS publicó el 22 de octubre el aviso CVE-2026-115419 sobre el servidor HTTP A2A de Strands Agents SDK. En despliegues compartidos, un usuario remoto autenticado podía acceder al historial de otro llamador o influir en el comportamiento del modelo. El problema no equivale a una vulnerabilidad de todos los servicios de agentes de AWS ni permite concluir que exista explotación activa.
El aviso identifica correcciones en Python 1.43.0 y TypeScript 1.5.0. En Python, el alcance incluye el módulo multiagent.a2a de las versiones afectadas. La separación del estado por context_id forma parte de la solución. Mientras se actualiza, AWS recomienda evitar compartir el servidor entre varios usuarios o tenants, o utilizar instancias separadas; no presenta una solución alternativa completa.
Análisis editorial. Una conversación es también un recurso protegido: reúne instrucciones, resultados y posiblemente datos de negocio. Comprobar que alguien inició sesión no demuestra que pueda leer cada historial disponible. La autorización debe mantenerse durante toda la conversación y en las llamadas entre componentes, incluso cuando el transporte ya autentica al solicitante.
02 · Impacto
Por qué importa
Impacto. Para un equipo que integra agentes, la prioridad es identificar dónde se conserva el estado y quién puede recuperarlo. Una biblioteca actualizada en desarrollo no protege un contenedor antiguo todavía desplegado. El riesgo tampoco termina en la lectura: un contexto mezclado puede contaminar respuestas o decisiones posteriores. Esta es una interpretación operativa del fallo, no evidencia de incidentes en organizaciones concretas.
03 · Recomendaciones
Qué conviene hacer
- Recomendación: inventariar las aplicaciones que usan el servidor A2A, registrar versión y lenguaje, revisar forks y reconstruir los artefactos afectados. Confirmar la versión efectivamente ejecutada después del despliegue y conservar evidencia del cambio. No limitar la comprobación al archivo de dependencias del repositorio.
- Recomendación: ensayar con dos identidades ficticias y dos conversaciones separadas. Intentar recuperar o reutilizar referencias de la otra identidad y comprobar que la aplicación rechaza el acceso sin revelar contenido. Repetir el control con concurrencia, reintentos y sesiones nuevas; una prueba positiva de funcionamiento no reemplaza una prueba negativa de autorización.
- Recomendación: mientras dure la mitigación, reducir el alcance del servicio compartido y asignar un responsable al cierre. Revisar los registros disponibles con criterios de minimización, sin copiar historiales completos a sistemas de diagnóstico. Cerrar la tarea solo cuando actualización, aislamiento y pruebas de regresión estén documentados.