【高】CVE-2026-52870 MCP Python SDK セッション管理不備による認証バイパス問題 AI Security対策解説バイブコーダー必読

結論

• 危険度: High (CVSS 7.6)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-15 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-52870は、Python製のMCP SDK（Model Context Protocolの実装）で、サーバのタスク操作APIが接続中の任意のクライアントに他クライアントのタスクを列挙・取得・キャンセルされる脆弱性です。LLMゲートウェイ運用者にとって最優先対応が必要です。

やさしく説明すると

例えると、複数の人が同時に使うタスク管理システムの鍵がかかっていません。誰かが自分以外の人の宿題や仕事の進捗を勝手に見たり、やめたりできてしまう状態です。こうなると、ほかの人の作業内容が漏れたり、作業自体が壊されてしまう恐れがあります。

技術的な原因

この脆弱性は、server.experimental.enable_tasks()がインストールするデフォルトのハンドラが、タスクのIDだけを操作対象として扱い、「どのセッションがそのタスクを作成したか」を記録しません。そのため、任意の接続クライアントが他人のタスクを操作できます。CWE-862（認証不備）が該当し、権限検証不足によるアクセス制御破壊が原因です。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）が流出するリスク
• LLMのセッションコンテキストやユーザーデータが第三者に盗まれる
• プロンプトインジェクションを介したエージェントの乗っ取り
• モデルやRAGデータの改ざん・破壊
• 不必要な処理キャンセルなどによる運用混乱
• テナント間の情報漏洩（マルチテナント環境の場合）
• AI開発ツール（CursorやClineなど）への影響やIDE拡張の遠隔操作の足掛かり
• .envファイルや認証情報の漏洩による二次被害拡大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは7.6でHighレベル。ネットワーク経由で低権限クライアントが操作可能で非常に怖い。
• EPSS（実世界悪用予測スコア）は提供されていない。
• ランサムウェアによる悪用は不明（CISA KEVに未登録）。
• 公開PoCは存在しないため、現時点で広範囲に武器化されてはいない。
• 攻撃にはネットワークアクセスが必要で認証は低権限で十分（PR:L）、ユーザ操作は不要（UI:N）なので容易に攻撃される。
• デフォルト設定で有効な場合は非常にリスクが高い。

誰が動くべきか

• LLM Gateway運用チーム（MCP ServerやLLM Proxyを採用している場合）
• Agentフレームワーク開発者（LangChainやAutoGenなどでMCP SDKを使っている場合）
• MLインフラチーム（PythonベースのMCP環境を管理する場合）
• バイブコーダー開発者（Cursor、Cline、Copilot、Aider、Claude Codeを使ったAI駆動開発者）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show mcp

出力例:

Name: mcp
Version: 1.26.0
Summary: Model Context Protocol Python SDK

判定: Versionが1.23.0以上1.27.2以下なら脆弱。1.27.2以上なら安全。

Python (pip list + grep)

pip list | grep mcp

出力例:

mcp             1.25.4

判定: バージョンが 1.23.0〜1.27.2 範囲なら脆弱。

設定確認

本脆弱性は server.experimental.enable_tasks() 関数で有効化される特定のタスクAPIハンドラが問題です。したがって、設定依存の脆弱性です。該当のAPIハンドラを利用していなければ影響はありません。設定ファイルやコードで experimental.enable_tasks() の呼び出しを確認してください。

Nucleiテンプレートでの検出

本脆弱性に対応した公開Nucleiテンプレートは提供されていません。検出はバージョン確認および設定確認を推奨します。

STEP 4: 修正を適用する

パッチ適用

Python (pip)

pip install --upgrade mcp

出力例:

Successfully installed mcp-1.27.2

判定: バージョンが 1.27.2 以上になれば、修正済みで安全。

注意: アップグレード前に必ずバックアップを取得し、ステージング環境で十分に動作検証を行ってください。本番環境でのダウンタイム計画も忘れずに。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応策は提示されていません。設定で server.experimental.enable_tasks() を呼び出さない、または問題のAPIハンドラを無効にして利用を停止してください。ネットワークアクセスも限定し、信頼できるクライアントからのみ接続許可を与えることも検討してください。

STEP 5: 修正されたことを確認する

STEP 3で紹介したバージョン確認コマンドを修正適用後に再実行します。

期待される出力

Python (pip show)

pip show mcp

出力例（修正後）:

Name: mcp
Version: 1.27.2
Summary: Model Context Protocol Python SDK

判定: バージョンが 1.27.2 以上ならOK。

追加で確認すべきこと

• 設定で server.experimental.enable_tasks() が呼び出されていないか再度確認する。
• 脆弱性利用の兆候がログにないか監査する。

補足: 悪用観測状況

現時点でこのCVEの公開されたPoCコードは存在しません。CISAのKEV（Known Exploited Vulnerabilities）カタログにも登録されておらず、ランサムウェアグループなどによる悪用の報告はありません。つまり現状では実利用の報告はなく、計画的なアップデートが推奨されます。

補足: CVSSメトリクス詳細

• AV (攻撃元): NETWORK（ネットワーク経由）
• AC (攻撃複雑度): LOW（攻撃は容易）
• PR (必要権限): LOW（低い権限で攻撃可能）
• UI (ユーザー操作): NONE（ユーザー操作不要）
• S (スコープ): UNCHANGED（スコープは変更されない）
• C (機密性): HIGH（秘密情報の漏洩リスクが高い）
• I (完全性): LOW（一部の改ざんが可能）
• A (可用性): LOW（サービス停止など影響あり）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3のバージョン確認と設定確認を実施し、該当する場合はSTEP 4のパッチ適用を行ってください。本文内に具体的なバージョンとコマンドを記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. server.experimental.enable_tasks() の利用を停止し、問題のAPIハンドラを無効にする設定変更や、ネットワークアクセス制限を検討してください。公式の暫定策の詳細は未提供です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. まずログを監査し、タスク操作APIの不正利用の兆候を確認してください。異常なタスク一覧取得やキャンセル要求があれば注意が必要です。公式のIOC情報は未公開です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の危険度を示しますが、EPSSは「実際に悪用される確率」を示します。両方を参照すると対応優先度の判断がより正確になります（本CVEはEPSS未提供）。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-862は認証不備に起因する脆弱性のカテゴリです。同じようにアクセス制御の不備で他クライアント操作を許してしまう脆弱性は他のAPIやSDKにも存在する可能性があります。

参考文献

• NVD – CVE-2026-52870
• Python SDK 1.27.2 リリース
• GitHub Security Advisory
• 修正コミット

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• authz-missing に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧