何が起きたか
GitHub Security Advisory GHSA-4922-8r65-fq26 (CVE-2026-63732、CVSS 9.9、2026年7月23日公開) は、9router における3段階の脆弱性チェーンを記録しています。ハードコードされたデフォルトパスワード、ネットワークアクセス制御のHost ヘッダーベースのバイパス、および MCP プラグイン登録時の child_process.spawn() への安全でない引数渡しが組み合わさることで、リモートの認証なしの攻撃者がホスト上で完全な RCE を取得できます。
なぜ重要か
9router は MCP プラグイン登録とエージェントツール使用の配信パスに直接位置しています。ハードコードされたデフォルト認証情報と MCP ツール登録サーフェスにおける認証なし RCE は、公開されたインスタンスが簡単にかつ完全に侵害され、その結果、そこを通じてルーティングされるすべての下流 AI エージェントツール呼び出しが潜在的に漏洩することを意味します。
攻撃経路
リモートの認証なし攻撃者は、任意のフレッシュインストールに存在するハードコードされたデフォルトパスワード (123456) を使用してログインし、Host ヘッダーをなりすまして LOCAL_ONLY ネットワークゲートをバイパスし内部限定ルートに到達し、次に、Node の child_process.spawn() に検証されない引数を渡す悪意のある MCP プラグインを登録します (例えば node -e <payload>)。プラグインの SSE エンドポイントがトリガーされると、任意のコード実行が達成されます。
影響を受けるシステム
9router 0.4.59 (0.4.60 で修正)
緩和策
直ちに 9router 0.4.60 以降にアップグレードしてください。アップグレード前のインスタンスのデフォルト認証情報を変更し、侵害の有無を監査してください。