【高】CVE-2026-52869 MCP Python SDKの認証バイパス脆弱性が判明 AI Security＆LLM Gateway運用者向け緊急対応指南

結論

• 危険度: High (CVSS 7.1)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-15 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-52869は、MCP Python SDK（Model Context Protocolの実装）に存在します。攻撃者は認証された他のクライアントの既知のセッションIDを用い、本人確認なしにそのセッションに偽の命令（JSON-RPCメッセージ）を送り込めます。これはLLMゲートウェイやAI Agentのセッション管理を破壊し、運用者にとって最優先で対処すべき脆弱性です。

やさしく説明すると

例えると、あなたのアプリの「会話ルーム」に合鍵なしで他人が入れます。この合鍵は本来そのルームを作った本人しか使ってはいけません。ですがこの脆弱性は、合鍵を持つ正しいユーザーでなくてもIDだけ知っていれば勝手に会話を書き換えられてしまいます。つまり、正しいユーザーになりすまして悪意ある命令を送れる状態です。

技術的な原因

MCP Python SDK内のSSE（Server-Sent Events）およびストリームHTTP転送実装が、セッションのルーティングで「session_id」クエリパラメータや「Mcp-Session-Id」ヘッダーのみを参照し、セッションを作成した認証主体（プリンシパル）を検証しません。これにより、CWE-639（認証チェックの欠如）が生じ、異なるベアラートークン認証済みクライアントが他のユーザーのセッションに不正アクセスし、JSON-RPCメッセージを注入できます。

影響を受けると何が困るか

• AI GatewayやAgentフレームワークでのセッション乗っ取りにより、サービスの正常動作が阻害される
• 認証済み利用者同士のセッションの分離が崩れ、テナント間情報漏洩が起こる可能性
• LLMコンテキストやプロンプト改ざんにより、AIの推論精度やセキュリティが損なわれる
• 悪意あるメッセージ注入でエージェントの乗っ取りや機密データの抽出につながる事象
• APIキーや認証情報の漏洩リスクや、不正アクセスによるAIコーディングツール（CursorやCline等）への影響

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは 7.1 (HIGH) で、中程度より上の重要度。実務的には「計画的に対応すべき」レベルです。
• EPSSスコア（実際に悪用される可能性の予測）は未公開のため不明です。
• ランサムウェアによる悪用は 現在のところ知られていません。
• 公開されているPoCやExploitも 現時点で存在しません。
• 攻撃はネットワーク経由で可能ですが、攻撃難度は高く、最低限の権限（低レベルの認証トークン）を要求します。
• ユーザ操作は不要で、自動的に攻撃可能です。

誰が動くべきか

• LLM GatewayやAPI管理を本番運用しているインフラ運用チーム（LiteLLM/OpenRouterなど）
• Agentフレームワーク開発者（LangChainやAutoGen等を使用または提供している方）
• バイブコーダー開発者（Cursor、Cline、Aider、GitHub Copilot、Claude CodeなどAI駆動開発者）
• AIプラットフォームのSRE/SecOpsチーム（MCP ServerやLLM Proxyを運用している場合）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show mcp

出力例:

Name: mcp
Version: 1.27.0
Summary: MCP Python SDK
Home-page: https://github.com/modelcontextprotocol/python-sdk

判定: Version が 1.27.2 未満なら脆弱 1.27.2 以上なら安全

Python (pip list + grep)

pip list | grep mcp

出力例:

mcp             1.26.5

判定: 1.27.2 未満なら脆弱

設定確認

この脆弱性はバージョン依存であり、特定の設定による影響はありません。したがって、バージョンが脆弱範囲なら設定に関係なく影響を受けます。

Nucleiテンプレートでの検出

本脆弱性に対する公開Nucleiテンプレートは 現状ありません。環境確認はバージョン確認を推奨します。

STEP 4: 修正を適用する

パッチ適用

Python (pip)でアップグレード

pip install --upgrade mcp

出力例:

Successfully installed mcp-1.27.2

注意: 本番環境でパッチ適用前に必ずバックアップを取得してください。可能であればステージング環境で動作確認後に本番に適用しましょう。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。緊急を要する場合は、対象MCP SDKを利用するAPI GatewayやAgentのアクセス制御を強化し、不正アクセス経路を遮断してください。

STEP 5: 修正されたことを確認する

STEP 3 で示したバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show mcp

出力例:

Name: mcp
Version: 1.27.2
Summary: MCP Python SDK
Home-page: https://github.com/modelcontextprotocol/python-sdk

判定: バージョンが 1.27.2 以上ならOK

追加で確認すべきこと

• 不審なJSON-RPCメッセージのログや不正なセッション注入の痕跡がないか監視する。
• 新しいバージョンでの安定動作をステージングや本番環境で十分に検証する。

補足: 悪用観測状況

CVE-2026-52869については、GitHub上に公開されたPoC（実証コード）は存在しません。NVDのExploit Databaseにも関連情報は掲載されていません。ランサムウェアによる悪用も今のところ不明です。したがって、まだ攻撃に利用された事例は報告されていません。

補足: CVSSメトリクス詳細

• AV（攻撃元のアクセス経路）: NETWORK（ネットワーク越しに攻撃可能）
• AC（攻撃の複雑さ）: HIGH（攻撃には高い技術や条件が必要）
• PR（必要な権限）: LOW（低レベルの認証があれば可能）
• UI（ユーザ操作）: NONE（ユーザ操作不要）
• S（スコープの影響）: UNCHANGED（権限や範囲は拡大しない）
• C（機密性影響）: HIGH（データ漏洩の可能性大）
• I（完全性影響）: HIGH（データ改ざんの可能性大）
• A（可用性影響）: LOW（サービス停止への影響は小さい）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で自分の環境のバージョンを確認し、脆弱ならSTEP 4で必ず 1.27.2 以上にアップグレードしてください。最後にSTEP 5で修正状態を確認しましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式では暫定対応策が提示されていません。ネットワークアクセス制御を強化し、不正なセッションアクセスを遮断してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログにおいて、未知のセッションIDからの予期しないJSON-RPCメッセージ注入がないか監視してください。また、不審なアクセス記録があれば調査を行いましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは「実際に攻撃される可能性」を示します。両方を確認すると対応優先度をより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-639「認証チェックの欠如」に分類される脆弱性は他にもあります。セッション管理の認証確認が甘い実装は同様に危険です。

参考文献

• NVD CVE-2026-52869
• MCP Python SDK 1.27.2 リリース情報 (修正バージョン)
• GitHub Security Advisory GHSA-jpw9-pfvf-9f58
• 修正プルリクエスト(PR 2719)
• 修正コミット(ce267b6)

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧