事件经过
NVD 在 2026-07-28 发布了 CVE-2026-47427（CVSS 7.5，高），描述 GitHub 官方 MCP Server 中的未认证拒绝服务，由完成请求处理程序中缺少的空值检查导致。
影响分析
GitHub 的 MCP Server 是 AI 编码代理的广泛部署的官方集成点；未认证、预认证崩溃意味着依赖它的任何代理工作流都可以被轻松中断，且崩溃发生在认证之前意味着它可由任何网络可达的客户端在零凭证下利用。
攻击途径
CompletionsHandler 函数访问 params.Ref 而无空值检查；未认证的客户端发送带有缺失或空 ref 字段的 completion/complete 请求触发 Go 运行时恐慌并在任何认证或令牌验证之前崩溃服务器。
受影响系统
github/github-mcp-server 1.1.0 之前
缓解措施
升级到 github-mcp-server 1.1.0 或更高版本。