何が起きたか
NVD REST API経由で検証済み（CVE-2026-55786 公開日 2026-10-14、CVSS 8.4、CWE-78/306；CVE-2026-55787 CVSS 7.1、CWE-918）。カーネル自身のMCPルートは、REST実行ルートに適用される認証依存関係をスキップするため、エンドポイントに到達できる任意の呼び出し元にコマンド実行を公開します。2.26.4で修正済み（SSRFについては2.26.3）。
なぜ重要か
AIエージェント実行カーネルがMCPツールサーフェスの認証に失敗することは、典型的なエージェントインフラストラクチャの失敗です：エージェントコマンドを実行することが仕事であるコンポーネントは、sandbox.execute_shellを未認証で公開してはなりません。非ループバックインターフェースにバインドしているオペレーターは、任意のネットワークピアからのホスト全体のRCEの直接的なリスクにさらされます。
攻撃経路
HTTP MCP POST /mcpルートへの未認証のJSON-RPCツール/呼び出し—このルートは、RESTルートで使用されるrequire_auth依存関係なしに、execute_module引数（例：commandパラメータを持つsandbox.execute_shell）をモジュールレジストリに転送します。コマンドはサーバープロセス権限でasyncio.create_subprocess_shellに到達します。関連するSSRFは、IPv4マップ/6to4/NAT64遷移形式リテラルを使用してプライベートIPチェックをバイパスし、ループバック/メタデータに到達します。
影響を受けるシステム
flyto-core 2.26.2–<2.26.4（RCE）；<2.26.3（SSRF CVE-2026-55787）
緩和策
flyto-coreを>= 2.26.4にアップグレードし（SSRFの場合は2.26.3）、MCPルートを認証済みプロキシの背後でループバックにバインドしたままにし、モジュールレジストリのrequire_authカバレッジを監査してください。