何が起きたか
CVE-2026-18484（CVSS 6.5、CWE-706） — IBM ContextForge MCP Gateway 1.0.0〜1.0.11の不適切なスラッグ正規化により、リモート認証済み攻撃者がツール名の衝突を引き起こし、サービス拒否を引き起こす可能性があります。NVD RESTで検証済み（2026-11-08公開）; ベンダーアドバイザリ付きの実際のカタログ化されたAIエコシステム脆弱性です。
なぜ重要か
このゲートウェイはエージェントのためのModel Context Protocolツール呼び出しを仲介します。可用性のみですが再現可能なDoSにより、エージェントのツールサーフェスがオフラインになる可能性があります。MCP関連のベンダーアドバイザリ付きの発見であり、意味のある（可用性に限定されるものの）影響範囲があります — ContextForgeを運用している組織にとってはパッチ適用に値します。
攻撃経路
リモート認証済みユーザーが、不適切なスラッグ正規化により正規化されたスラッグが衝突するツールを登録/定義し、エージェントのツール呼び出しの前面にあるMCPゲートウェイでサービスを低下または拒否させるツール名の衝突を引き起こします。
影響を受けるシステム
IBM ContextForge MCP Gateway 1.0.0から1.0.11
緩和策
IBMサポートノード7294233に従って修正版にアップグレードし、ゲートウェイでツールを登録/定義できる認証済みアカウントを制限してください。