Apa yang terjadi
Gelombang terkoordinasi dari GitHub Security Advisories (dipublikasikan 2026-10-27) mendokumentasikan injeksi perintah OS di sekitar sembilan server alat MCP. Dalam masing-masing, parameter alat yang dapat dipanggil agen diinterpolasi ke dalam perintah shell tanpa netralisasi karakter meta shell, sehingga klien MCP — termasuk agen yang diinjeksi prompt — dapat mengeksekusi perintah arbitrer. Vendor menggambarkan kelas injeksi perintah yang dapat dijangkau melalui injeksi prompt (misalnya bypass allowlist Device.run_shell DroidMind).
Mengapa penting
Ini adalah kelas serangan eksekusi agen yang sistemik: server alat MCP adalah tangan agen, dan sebagian besar tidak memperlakukan parameter alat sebagai input yang tidak tepercaya. Agen yang diinjeksi prompt atau pengembalian alat yang disusupi mendapatkan eksekusi perintah OS pada mesin yang menjalankan server MCP — penyerang dapat berpindah dari satu prompt berbahaya ke eksekusi perintah host. Luasnya (9+ server dalam satu hari) menandakan kebiasaan penulisan yang tersebar luas, bukan bug yang terisolasi.
Vektor serangan
Pola yang sama: parameter alat agen diinterpolasi langsung ke perintah shell (execSync / run_shell / flag CLI) tanpa menetralkan $(), backtick, atau substitusi karakter meta. Karena konten yang tidak tepercaya mencapai parameter ini melalui injeksi prompt, prompt berbahaya atau pengembalian alat yang diinjeksi dapat mendorong agen mengeksekusi perintah shell arbitrer dengan hak istimewa server MCP.
Sistem yang terdampak
CVE-2026-117558 (ai-sdlc ≤0.31.2), CVE-2026-117559 (DroidMind ≤0.4.0), CVE-2026-117560 (ATXP ≤1.0.0), CVE-2026-117561 (sf-mcp ≤1.3.2), CVE-2026-117567 (esp-mcp), CVE-2026-117568 (mcp-ffmpeg ≤1.0.5), CVE-2026-117569 (Kali-GPT), CVE-2026-117573 (hagent), CVE-2026-117570 (nmap-mcp) — semua dipublikasikan 2026-10-27
Mitigasi
Tingkatkan setiap server MCP yang tercantum ke rilis yang ditambal, nonaktifkan eksekusi perintah shell pada alat ini, dan terapkan allowlist ketat yang menolak karakter meta. Tinjau batas kepercayaan prompt agen/pengembalian alat dan sandbox proses server MCP.