何が起きたか
NVD は2026年8月7日、CVE-2026-48039 (CVSS 9.1, Critical) を公開しました。バージョン 1.0.109 より前では、Meta Ads MCP サーバーが認証なしで任意のネットワークに到達可能な呼び出し元が MCP ツールを実行でき、エラー時にオペレーターの Meta アクセストークンが JSON-RPC レスポンスを介して流出されていました。
なぜ重要か
MCP サーバーは、LLM エージェントと高価値ビジネスプラットフォーム (広告アカウント、請求) 間の認証情報保有ブリッジとしてますます機能します。この欠陥により、任意のネットワーク攻撃者は、特権化された広告管理アクションを実行し、エージェント コンテキスト外で基礎となる Meta 広告アカウント全体を完全に侵害するために必要な長期有効なアクセストークンを流出させることができます。
攻撃経路
AuthInjectionMiddleware.dispatch() は、401 を発行せず、認証されていない Streamable HTTP リクエストを無条件にダウンストリーム MCP ツールハンドラーに転送します。リクエストごとの認証情報が存在しない場合、ツールハンドラーはオペレーターの META_ACCESS_TOKEN 環境変数にフォールバックします。ダウンストリーム Graph API 障害時、access_token を含む生のリクエスト URL が JSON-RPC レスポンス本体にシリアル化され、認証されていない呼び出し元に認証情報が流出します。
影響を受けるシステム
pipeboard-co meta-ads-mcp < 1.0.109
緩和策
meta-ads-mcp 1.0.109 以降 (https://github.com/pipeboard-co/meta-ads-mcp/releases/tag/1.0.109) にアップグレードしてください。