公式MCPサーバー3種に欠陥8件｜日付版の利用者に自動更新なし

2026年10月25日 0時15分から19分（協定世界時、以下UTC。日本時間 9時15分から19分）にかけて、AI と外部の道具をつなぐ規格 MCP の公式リポジトリ modelcontextprotocol/servers が、安全上の勧告を8件続けて公開しました。対象は、ファイルを扱う filesystem、ウェブの内容を取ってくる fetch、検証用の everything の3つの参照サーバーです。勧告の12分前には、修正を含むリリース v2.1.0 が出ています。影響を受けるのは、filesystem と everything の 2.0.0 以前（日付形式の版を含む）と、fetch の 2026.10.19 以前です。開発元は、日付形式の版を使っている場合、パッケージ管理の道具が修正版を更新として示さないと勧告に明記しました。

10月25日に公開された勧告8件と、リリース v2.1.0

modelcontextprotocol/servers のリリース v2.1.0 は、10月25日 0時3分 UTC（日本時間 9時3分）に公開されました。告知の冒頭には「3つのサーバーの8件の脆弱性を直す」と書かれ、filesystem と everything を 2.0.1 に、fetch を 2026.10.24 に上げるよう求めています。パッケージの公開の時刻は、Python 用の配布サイト PyPI の fetch が 0時4分、JavaScript 用の配布サイト npm の filesystem と everything が 0時5分です。

勧告は、その約10分後から順に出ました。最初は 0時15分の fetch の勧告 GHSA-3jqg-r5pp-rmp2 で、最後は 0時19分の everything の勧告 GHSA-mvf5-2qqv-rg3c です。8件とも開発元のリポジトリで出された勧告で、深刻度は「中」が4件、「低」が4件でした。「高」以上の評価の勧告はありません。

10月26日時点で、8件のどれにも CVE の番号は付いていません。勧告の題名は英語で、filesystem の4件は許可したフォルダの外に届く経路、fetch の3件は内部のアドレスや取得を断るサイトに届く経路です。everything の1件は、ほかのウェブサイトから環境変数を読み出せる経路を扱っています。報告者は8件で7人です。

modelcontextprotocol/servers と、filesystem・fetch・everything の役割

MCP（Model Context Protocol）は、AI のアプリが外部の道具やデータにつながるための共通の取り決めです。道具を差し出す側を MCP サーバーと呼びます。modelcontextprotocol/servers は、その参照実装（リファレンスサーバー）を集めた公式のリポジトリで、GitHub のスターは約9万1,500です。多くの AI アプリやエージェントの設定例で、ここのサーバーが使われています。

今回の3つのサーバーの役割は次のとおりです。filesystem は、利用者が指定したフォルダの中で、AI にファイルの読み書きや移動をさせるサーバーです。fetch は、AI が指定した住所（URL）のウェブの内容を取ってきて、AI に渡すサーバーです。everything は、MCP の機能を一通り試すための検証用のサーバーで、開発者が自分の作るアプリの動きを確かめるときに使います。

配布の形は2系統です。filesystem と everything は TypeScript で書かれ npm で配られています。fetch は Python で書かれ PyPI で配られています。同じリリースの告知によると、ほかの memory・sequential thinking・git・time のサーバーは、今回のリリースで変更がありません。

10月24日から25日までの経緯（UTCと日本時間）

リリースの作成から勧告の公開までは、約40分の間に収まっています。リリースの記録と、パッケージと勧告の公開時刻を並べると次のとおりです。

日時（UTC）	日本時間	出来事
2026/10/24 23:40	2026/10/25 8:40	リリース v2.1.0 の下書きが作られる
2026/10/25 0:03	2026/10/25 9:03	リリース v2.1.0 が公開される
2026/10/25 0:04	2026/10/25 9:04	PyPI に fetch の 2026.10.24 が公開される
2026/10/25 0:05	2026/10/25 9:05	npm に filesystem と everything の 2.0.1 が公開される
2026/10/25 0:15	2026/10/25 9:15	fetch の robots.txt の勧告が公開される（8件で最初）
2026/10/25 0:18	2026/10/25 9:18	filesystem の2件と、fetch の NAT64 の勧告が公開される
2026/10/25 0:19	2026/10/25 9:19	fetch の国際化ドメイン名の勧告と、filesystem の2件、everything の勧告が公開される

修正版のパッケージが出てから勧告が出るまでは、約10分でした。勧告が出た時点で、修正版はすでに入手できる状態にありました。報告の時期は勧告ごとに違います。everything の報告者は、2026年3月17日に検証したと書いています。その日から勧告の公開までは約7か月です。filesystem の名前の末尾の件の報告者は、10月14日時点の開発中の版で確かめたと書いています。

8件の内訳：深刻度と対象のサーバー

8件を、対象のサーバーと深刻度で並べると次のとおりです。深刻度は共通の評価方式 CVSS の点数で、10点満点です。fetch の国際化ドメイン名の件だけは、新しい第4.0版の点数で示されています。

勧告	サーバー	深刻度	欠陥の中身
GHSA-mvf5-2qqv-rg3c	everything	中 6.5	ほかのサイトから環境変数を読み出せた
GHSA-4gxg-m5jx-9j57	filesystem	中 5.3	大文字小文字を変えた名前でリンクの検査をすり抜けた
GHSA-7rgq-gccq-qphx	filesystem	中 4.2	検査と操作で別の文字列を使い、隣のフォルダに届いた
GHSA-53mr-w429-c597	filesystem	低 2.2	確かめた後に親フォルダを差し替えると外に書けた
GHSA-hhwq-wxfx-cj7g	filesystem	低 3.1	外のファイルの大きさが分かった
GHSA-v38p-wf49-hx2j	fetch	中 6.3（第4.0版）	国際化ドメイン名で内部への取得の防御をすり抜けた
GHSA-66qx-2266-pmj6	fetch	低 3.1	NAT64 の住所を公開の住所と判定した
GHSA-3jqg-r5pp-rmp2	fetch	低 3.1	転送先で robots.txt を確かめていなかった

点数が最も高いのは、everything の6.5です。fetch の国際化ドメイン名の件は、第4.0版で6.3の「中」ですが、報告者は勧告の中で、第3.1版に直すと7.4の「高」に当たると書いています。点数の版の違いで、評価の区分が変わる件です。filesystem の4件のうち2件と、fetch の3件のうち2件は「低」でした。

everything の欠陥：ブラウザで開いたページから環境変数を読み出せた

everything の勧告 GHSA-mvf5-2qqv-rg3c は、ほかのウェブサイトから環境変数を読み出せたという内容です。環境変数は、プログラムを動かすときに渡す設定の値で、開発者の端末では API キーやデータベースの資格情報が入っていることがよくあります。everything には、その環境変数をすべて返す道具（get-env）が入っていました。

勧告によると、everything をウェブの通信（HTTP）で動かす場合、3つの条件が重なっていました。全てのネットワークの接続口で待ち受けていたこと。どのサイトからの呼び出しも許す設定（CORS のワイルドカード）だったこと。認証が無かったこと、です。そのため、開発者がブラウザで開いた任意のウェブページから、利用者の操作なしにその道具を呼び出して、結果を読み取れたとされています。

報告者は ehudmelzer 氏です。修正版 2.0.1 では、ウェブの通信で動かす場合に、呼び出し元のサイトを示す情報（Origin）を確かめるようになり、どのサイトでも許す設定も外されました。リリースの告知は、利用者が開いたウェブページから道具を呼び出したり、結果を読んだりはできなくなったと記しています。

everything で影響を受ける版と、標準の動かし方 stdio が対象外である理由

everything の勧告が付けた版の範囲は、日付形式の 2025.9.24 から 2026.8.31 までと、通常の版番号の 1.0.0 以上 2.0.1 未満です。勧告は、2025.9.24 より前の版にも触れています。そこには緩い CORS の設定はありませんが、Origin も、接続先の名前（Host）も確かめていませんでした。そのため DNS リバインディング（名前の対応を途中で切り替える手口）に弱い状態で、2.0.1 の Origin の確認がそれも閉じると勧告は書いています。

報告者は、影響を受けるのはウェブの通信で動かした場合だけだと明記しています。everything の標準の動かし方は、同じ端末の中のプログラムどうしで標準入出力（stdio）を使ってやり取りする形です。この形には、ウェブから届く窓口がありません。報告者は、開発支援の道具に一度の操作で入れる案内の形や、コンテナで配る案内の形も、標準入出力のため影響を受けないと書いています。

一方で報告者は、説明書がウェブの通信の2つの方式を案内している点も挙げています。検証や開発の途中で、ウェブの通信の方式に切り替えて動かしている場合が、影響の対象です。報告者が影響の例として挙げたのは3つの場面です。開発者の端末での試験、自動の試験や配布の仕組みの中での実行、ホストのネットワークをそのまま使うコンテナでの実行です。

filesystem の4件：許可したフォルダの外に届いた4つの経路

filesystem は、起動のときに指定したフォルダ（許可フォルダ）の中だけで AI にファイルを扱わせる作りです。今回の4件は、いずれも許可フォルダの外に届く経路でした。4件とも修正版は 2.0.1 です。

1件目の GHSA-7rgq-gccq-qphx（中 4.2）は、パスの検査と実際の操作で、別の文字列を使っていた不一致です。検査の前の整形が、名前の末尾の引用符や空白を取り除いていました。そのため、許可フォルダの名前の末尾に引用符や空白を付けた「隣のフォルダ」に、外なのに読み書きできました。勧告によると、14ある道具のすべてが同じ検査を通るため、全てが対象です。報告者は HunterX461 氏です。

2件目の GHSA-53mr-w429-c597（低 2.2）は、確認と使用の時間差（TOCTOU）の欠陥です。新しいファイルを作るとき、親フォルダを確かめてから実際に書くまでの間に、別のローカルのプロセスが親フォルダをシンボリックリンク（別の場所を指す名前）に差し替えると、外に書けました。リリースの告知は、Linux と macOS では直ったが、Windows では一部しか直っていないと書き、残る点は勧告を見るよう案内しています。報告者は golang-not-rust 氏です。

3件目の GHSA-hhwq-wxfx-cj7g（低 3.1）は、大きさ付きでフォルダの中身を一覧にする道具が、シンボリックリンクをたどっていた件です。許可フォルダの外のファイルの大きさと更新日時が分かりました。中身の読み出しは拒否されます。報告者の cybercraftsolutionsllc は、秘密の鍵やデータベースのファイルがあるかどうかと、そのおよその大きさが分かりうると書いています。4件目の大文字小文字の件は、次の節で記します。

大文字小文字の件 GHSA-4gxg-m5jx-9j57 は 2026.8.31 で入った退行

GHSA-4gxg-m5jx-9j57（中 5.3）は、大文字と小文字を区別しないファイルシステムで起きる件です。macOS の APFS と Windows の NTFS は、既定でこの扱いです。許可フォルダの中に外を指すシンボリックリンクがあるとき、その名前の大文字小文字を変えて指定すると、リンクの検査をすり抜けました。その結果、外に新しいファイルやフォルダを作れたとされています。

影響は作ることに限られます。勧告によると、外にある既存のファイルは読めず、上書きもできません。この欠陥は、2026.8.31・1.0.0・2.0.0 に入った退行で、その前の 2026.7.10 はこうした指定を拒否していました。検査の作りを変えた2つの変更が、どちらも 2026.8.31 で初めて配られたと勧告は説明しています。そのため日付形式の版では、2026.8.31 だけが対象です。

報告者の 0xCoDSnet 氏は、大文字小文字を区別しない設定にした Linux で再現しました。macOS と Windows では実際には試していないと書いています。攻撃が成り立つには、外を指すリンクを含むリポジトリなどを許可フォルダに置かせたうえで、プロンプトインジェクション（AI への指示の紛れ込ませ）などで、大文字小文字を変えたパスを AI に使わせる必要がある、と勧告は前提を記しています。

fetch の3件：10月10日に足した防御に2つの穴

fetch には、2026.10.10 で「内部・非公開の住所への取得を断る防御」が加わっていました。10月2日に GitHub の勧告データベースに載った SSRF（サーバーに内部への取得をさせる攻撃）の欠陥 CVE-2026-104120 への修正です。AI が取りに行く住所は、取得したページの中の紛れ込んだ指示で決まることがあるため、内部のネットワークやクラウドのメタデータの窓口に届かないようにするための防御でした。今回の3件のうち2件は、この防御の穴です。

GHSA-v38p-wf49-hx2j（中 6.3）は、国際化ドメイン名（IDNA。日本語などを含むドメイン名）の扱いのずれです。防御が住所を調べるときの名前と、実際に接続するときの名前が、別の規格（IDNA 2003 と 2008）で変換されていました。そのため、ドメインを持つ者なら、内部のネットワークやメタデータの窓口に届かせられたと勧告は書いています。メタデータの窓口は、クラウドの仮想マシンの認証情報などを返す内部の住所です。報告者は dizconnectz 氏です。

GHSA-66qx-2266-pmj6（低 3.1）は、IPv6 から IPv4 へ変換する NAT64 の、よく知られた住所の帯を「公開」と判定していた件です。NAT64 を使うネットワーク、たとえば IPv6 だけの環境や一部のクラウドでは、メタデータの窓口に届きえました。NAT64 を使わない環境では、その住所に届く経路がありません。報告者の pacocartones 氏は、同じ種類の勧告がこの1週間に複数出ていると書いています。

fetch の robots.txt の件は 0.6.1 から続いていた

3件目の GHSA-3jqg-r5pp-rmp2（低 3.1）は、robots.txt の確認についての件です。robots.txt は、サイトが自動の取得を断るための指定です。fetch は標準でこの指定に従う作りでしたが、確かめていたのは最初に頼まれた住所だけで、転送（リダイレクト）先では確かめていませんでした。報告者は 0xCoDSnet 氏で、filesystem の大文字小文字の件と同じ報告者です。

この件の対象の版は 0.6.1 から 2026.10.19 までで、ほかの fetch の2件より範囲が長くなっています。報告者は、非公開の情報に届くわけではないと明記しています。robots.txt はあくまで取得の遠慮を求める指定で、内部への取得の防御は転送のたびに働いているためです。報告者によると、影響を受けるのは、robots.txt に従うと説明されて fetch を動かす利用者と、断る指定をしたサイトの運営者です。

修正版 2026.10.24 では、転送のたびに robots.txt を確かめ直すようになりました。報告者は、転送のたびに確認の通信が1回増えることと、転送先の robots.txt を取れない場合は取得が失敗するようになることを、動きの変化として挙げています。fetch の3件の修正版は、いずれも 2026.10.24 です。

日付形式から通常の版番号への移行と、更新が届かない影響

filesystem と everything は、2026年10月11日の 1.0.0 で、版番号の付け方を変えました。それまでは 2025.7.1 や 2026.8.31 のような日付形式の版番号でしたが、1.0.0 からは通常の版番号に移りました。修正版の 2.0.1 は、この新しい系統の版です。

勧告によると、パッケージ管理の道具は、2.0.1 を 2025.x や 2026.x より古い版と見なします。数字の大きさで比べると、2026 は 2 より大きいためです。その結果、日付形式の版を使っている環境では、道具が 2.0.1 を更新として示さず、Dependabot も更新の提案を出さないと勧告は明記しています。Dependabot は、GitHub が依存関係の古い版を見つけて更新を提案する機能です。

さらに、日付形式の版の側には、修正版が出ていません。勧告の版の範囲は、日付形式の版について「2026.8.31 まで」を対象とし、その系統の修正版の欄は空いています。日付形式の版のまま、修正を受け取る道は無いことになります。fetch はもともと日付形式の版番号を使い続けており、2026.10.24 が新しい版として通常どおり示されます。

8件の報告者と、AI の支援を受けた報告の開示

8件の報告者は7人で、0xCoDSnet 氏が filesystem と fetch の2件を報告しました。報告者の名前は、いずれも勧告の「報告者」の欄に載っています。everything は ehudmelzer 氏、filesystem は HunterX461 氏、golang-not-rust 氏、cybercraftsolutionsllc、0xCoDSnet 氏です。fetch は dizconnectz 氏、pacocartones 氏、0xCoDSnet 氏です。

NAT64 の件の報告者は、報告を AI の支援を受けて作ったと開示しています。ソースコードの読み込みと、関数単位の試験を AI の道具で行い、結果は自分で確かめたという内容です。開示は、リポジトリの寄稿の決まり（CONTRIBUTING）が AI の支援を受けた作業の流れについて求めていることに従ったものだと書かれています。

複数の報告者が、修正の案と試験の追加を報告の中に書き、開発元の非公開の作業場所に変更を出せると申し出ています。filesystem の大文字小文字の件の報告者は、新しい試験4つのうち3つが、大文字小文字を区別するファイルシステムでは自分を飛ばす作りだと説明しています。どの報告の修正案が、どの程度そのまま採られたかは、勧告とリリースの告知からは分かりません。

filesystem と git の過去の勧告：2025年7月から続く系統

filesystem には、2025年7月1日にも「高」の勧告が2件出ています。シンボリックリンクの扱いの CVE-2025-53109 と、パスの前方一致の比べ方の CVE-2025-53110 で、どちらも許可フォルダの外に届く欠陥でした。2025.7.1 で直っています。今回の大文字小文字の件の報告者は、自分の件を CVE-2025-53109 と同じ種類だと書いています。TOCTOU の件の報告者は逆に、2025年7月の2件とは別の種類で、当時の修正はリンクが後から作られる場合を扱っていないと書いています。

同じリポジトリの git のサーバーでは、2025年12月17日に3件の勧告（CVE-2025-68143・CVE-2025-68144・CVE-2025-68145）が出ました。リポジトリを任意の場所に作れた件、引数の紛れ込みでローカルのファイルを上書きできた件、リポジトリの指定に対するパスの確認が無かった件です。2026年2月25日には、git でリポジトリの外のファイルを登録できた CVE-2026-27735 が出ています。いずれも「中」で、指定した範囲の外に届く欠陥でした。

fetch では、2026年10月に SSRF の CVE-2026-104120 が公表され、2026.10.10 で内部への取得を断る防御が加わりました。今回の8件のうち2件は、その防御そのものの穴です。防御が入ってから2週間ほどで、穴を指摘する勧告が2件出たことになります。

影響を受ける版の範囲：日付形式の版と通常の版番号

勧告とリリースの告知に基づくと、影響を受ける版は次のとおりです。filesystem は、通常の版番号の 1.0.0 から 2.0.0 までと、日付形式の 2026.8.31 までの版です。日付形式の版の範囲は勧告ごとに違い、名前の末尾の件は 2025.8.21 から、大きさの件は 2025.7.1 から、TOCTOU の件は 2025.1.14 からで、大文字小文字の件は 2026.8.31 だけです。

everything は、通常の版番号の 1.0.0 から 2.0.0 までと、日付形式の 2025.9.24 から 2026.8.31 までです。2025.9.24 より前の版も、前の節のとおり DNS リバインディングに弱い状態だったと勧告は書いています。影響が出るのは、ウェブの通信の方式で動かした場合です。fetch は、国際化ドメイン名と NAT64 の2件が 2026.10.10 から 2026.10.19 まで、robots.txt の件が 0.6.1 から 2026.10.19 までです。

filesystem の欠陥のうち3件は、許可フォルダの外を指すシンボリックリンクが関わります。TOCTOU の件は、同じ端末で別のプロセスが動いている場合に限られます。fetch の NAT64 の件は、NAT64 を使うネットワークで動かしている場合に限られます。いずれも、どの環境で、どの動かし方をしているかで影響が変わることが勧告に書かれています。

現時点で分かっていないこと

10月26日時点で、8件の勧告とリリースの告知、過去の勧告で確かめられなかった点は次の5つです。どれも続報で変わりえます。

1. 悪用の有無。8件の勧告のどれにも、実際の悪用についての記載は無い
2. 8件に CVE の番号が付くかどうかと、その時期
3. 日付形式の版の filesystem と everything を使い続けている利用者の数
4. MCP を組み込んだ各 AI アプリが、中に filesystem などのどの版を同梱しているか
5. 大文字小文字の件が、Windows と macOS の実機で起きるかどうか。報告者は試していない

filesystem の TOCTOU の件について、Windows でどこまで残っているかは勧告に説明があります。ただし、Windows 向けの完全な修正の予定は、リリースの告知には書かれていません。10月26日時点で、今回の8件を報じた主要な報道機関の記事は、確認した範囲では見つかりませんでした。

開発元が利用者に求めたこと

開発元はリリースの告知で、filesystem と everything を 2.0.1 に、fetch を 2026.10.24 に上げるよう求めました。日付形式の版を使っている場合は、パッケージ管理の道具が自動では示さないため、修正版を明示して入れ直すよう求めています。日付形式の版の利用者向けの具体的な書き方は、各勧告とリリースの告知に載っています。

everything の勧告は、2025.9.24 より前の版も含め、どの古い版からも上げるよう書いています。filesystem の TOCTOU の件について、リリースの告知は、Windows では残る点があり、その設定での回避の方法を勧告に記したと案内しています。fetch の robots.txt の件の修正では、転送先の robots.txt を取れない場合に取得が失敗するようになるため、動きが変わる点も告知されています。

• 確認した日時：2026年10月26日。modelcontextprotocol/servers の勧告8件、リリース v2.1.0 の告知、npm と PyPI の公開時刻、過去の filesystem と git の勧告を確認しました
• CVE の採番、勧告の内容の更新、Windows 向けの追加の修正は、続報で変わる可能性があります
• 勧告にある攻撃の流れと検証用のコードは扱っていません。欠陥の仕組みは、勧告の要約と影響の節の範囲で記しています

まとめ

2026年10月25日、MCP の公式リポジトリ modelcontextprotocol/servers が、3つの参照サーバーの勧告8件を公開しました。everything では、ウェブの通信で動かした場合に、ブラウザで開いたほかのサイトから環境変数を読み出せました。filesystem の4件は許可フォルダの外に届く経路で、fetch の3件のうち2件は、10月10日に加わった内部への取得の防御の穴でした。深刻度は「中」が4件、「低」が4件です。

修正版は filesystem と everything が 2.0.1、fetch が 2026.10.24 です。filesystem と everything は10月11日の 1.0.0 で日付形式の版番号をやめており、日付形式の版を使う環境には更新の提案が届きません。日付形式の版の側に修正版はありません。悪用の有無、CVE の番号、日付形式の版の利用者の数、AI アプリが同梱する版は、10月26日時点で分かっていません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。