何が起きたか
2026-10-27に公開されたGitHubセキュリティアドバイザリの連携的な波は、約9つのMCPツールサーバーにわたるOSコマンドインジェクションを文書化しています。各サーバーで、エージェント呼び出し可能なツールパラメータが、シェルメタキャラクタの無害化なしでシェルコマンドに補間されるため、MCPクライアント（プロンプトインジェクションされたエージェントを含む）は任意のコマンドを実行できます。ベンダーは、プロンプトインジェクションによって到達可能なコマンドインジェクションクラスを説明しています（例：DroidMindのDevice.run_shell許可リストバイパス）。
なぜ重要か
これは体系的なエージェント実行攻撃クラスです。MCPツールサーバーはエージェントの手であり、ほとんどのサーバーはツールパラメータを信頼できない入力として扱いません。プロンプトインジェクションされたエージェントまたは侵害されたツールリターンは、MCPサーバーが実行されているマシン上でOSコマンド実行を獲得します — 攻撃者は単一の悪意あるプロンプトからホストコマンド実行にピボットできます。その広がり（1日で9以上のサーバー）は、孤立したバグではなく、広範な作成習慣を示しています。
攻撃経路
共通パターン：エージェントツールパラメータが、$()、バッククォート、メタキャラクタ置換を無害化せずに、シェルコマンド（execSync / run_shell / CLIフラグ）に直接補間されます。信頼できないコンテンツがプロンプトインジェクション経由でこれらのパラメータに到達するため、悪意あるプロンプトまたはインジェクションされたツールリターンが、MCPサーバーの権限で任意のシェルコマンドを実行するようエージェントを駆動できます。
影響を受けるシステム
CVE-2026-117558 (ai-sdlc ≤0.31.2), CVE-2026-117559 (DroidMind ≤0.4.0), CVE-2026-117560 (ATXP ≤1.0.0), CVE-2026-117561 (sf-mcp ≤1.3.2), CVE-2026-117567 (esp-mcp), CVE-2026-117568 (mcp-ffmpeg ≤1.0.5), CVE-2026-117569 (Kali-GPT), CVE-2026-117573 (hagent), CVE-2026-117570 (nmap-mcp) — すべて2026-10-27に公開
緩和策
各リストされたMCPサーバーをパッチ済みリリースにアップグレードし、これらのツールでのシェルコマンド実行を無効にし、メタキャラクタを拒否する厳格な許可リストを強制してください。エージェントプロンプト/ツールリターンの信頼境界を見直し、MCPサーバープロセスをサンドボックス化してください。