무슨 일이 있었나
조정된 GitHub Security Advisories 웨이브(2026-10-27 게시)가 약 9개의 MCP 툴 서버에 걸친 OS 명령 인젝션을 문서화하고 있습니다. 각각에서 에이전트가 호출할 수 있는 툴 파라미터가 셸 메타문자 중화 없이 셸 명령에 보간되어, MCP 클라이언트(프롬프트 인젝션된 에이전트 포함)가 임의의 명령을 실행할 수 있습니다. 공급업체들은 프롬프트 인젝션으로 도달 가능한 명령 인젝션 클래스를 설명합니다(예: DroidMind의 Device.run_shell 허용 목록 우회).
왜 중요한가
이것은 체계적인 에이전트 실행 공격 클래스입니다: MCP 툴 서버는 에이전트의 손이며, 대부분은 툴 파라미터를 신뢰할 수 없는 입력으로 취급하지 않습니다. 프롬프트 인젝션된 에이전트나 손상된 툴 반환 값은 MCP 서버가 실행 중인 머신에서 OS 명령 실행을 획득합니다 — 공격자는 단일 악성 프롬프트에서 호스트 명령 실행으로 피벗할 수 있습니다. 하루에 9개 이상의 서버가 영향을 받은 것은 고립된 버그라기보다 광범위한 작성 습관을 나타냅니다.
공격 경로
공통 패턴: 에이전트 툴 파라미터가 셸 명령(execSync / run_shell / CLI 플래그)에 직접 보간되며 $(), 백틱, 또는 메타문자 대체를 중화하지 않습니다. 신뢰할 수 없는 콘텐츠가 프롬프트 인젝션을 통해 이러한 파라미터에 도달하기 때문에, 악성 프롬프트나 인젝션된 툴 반환 값은 에이전트가 MCP 서버의 권한으로 임의의 셸 명령을 실행하도록 유도할 수 있습니다.
영향받는 시스템
CVE-2026-117558 (ai-sdlc ≤0.31.2), CVE-2026-117559 (DroidMind ≤0.4.0), CVE-2026-117560 (ATXP ≤1.0.0), CVE-2026-117561 (sf-mcp ≤1.3.2), CVE-2026-117567 (esp-mcp), CVE-2026-117568 (mcp-ffmpeg ≤1.0.5), CVE-2026-117569 (Kali-GPT), CVE-2026-117573 (hagent), CVE-2026-117570 (nmap-mcp) — 모두 2026-10-27에 게시됨
완화 방안
나열된 각 MCP 서버를 패치된 릴리스로 업그레이드하고, 이러한 툴에서 셸 명령 실행을 비활성화하며, 메타문자를 거부하는 엄격한 허용 목록을 적용하십시오. 에이전트 프롬프트/툴 반환 신뢰 경계를 검토하고 MCP 서버 프로세스를 샌드박싱하십시오.