何が起きたか
Apacheは（2026-10-19）、Apache AnswerのMCP回答取得ツールにおける認可欠如の脆弱性を公開しました。これにより、グローバルAPIキー保持者は非表示、削除済み、またはレビュー待ちの質問の回答内容にアクセスできてしまいます。CVSSスコアは公開されていません（未評価）。
なぜ重要か
Apache Answerは、エージェントがナレッジベースの回答を取得するために呼び出すMCPツールを公開しています。MCPパスにおける可視性チェックの欠如により、通常のUIが隠すのと同じコンテンツが漏洩し、エージェントまたはそのオペレーターが制限されるべきデータを読み取れるようになり、エージェントが取り込むQ&Aコンテンツの機密性境界が損なわれます。
攻撃経路
MCPの回答取得ツールは、Webの回答一覧と同じ可視性/認可ルールを適用していないため、グローバルAPIキーを保持する呼び出し元は、非表示、削除済み、またはレビュー待ちの質問に関連する回答を読むことができます（CWE-862）。
影響を受けるシステム
Apache Answer 2.0.2まで
緩和策
Apache Answer 2.0.3にアップグレードしてください。