事件经过
通过NVD REST API验证（发布于2026-10-09）：x64dbg调试器的原生模型上下文协议插件存在CWE-306缺少认证问题。在v1.1之前，它通过HTTP和SSE公开所有MCP调试器工具且无需认证，同时默认监听0.0.0.0，因此任何未经认证的网络客户端都可以执行任意x64dbg命令、附加到进程，以及读写被调试程序的内存和文件。
影响分析
这是典型的智能体工具面受损：MCP服务器是AI编码/调试智能体用于驱动调试器的接口。结合智能体端的提示注入，互联网可达的实例为攻击者提供了分析师/恶意软件逆向工作站上的远程、等效root的代码执行和进程操纵原语——严重性为严重（CVSS 9.3），且零认证。
攻击途径
无需凭据或用户交互：未经认证的网络客户端连接到MCP HTTP/SSE端口并调用任意MCP调试器工具，以执行任意x64dbg命令、按PID附加到进程、读写被调试程序内存，以及向主机上的任意路径写入文件。
受影响系统
x64dbg-mcp-server < 1.1（Windows上x64dbg的原生MCP插件；默认监听0.0.0.0:9094（x64）/ 9095（x32））
缓解措施
升级到1.1版本（或1.2版本以获取DoS修复）。不要将MCP端口暴露到localhost之外；限制网络访问并要求认证。公告：https://github.com/duty1g/x64dbg-mcp-server/security/advisories/GHSA-4478-h5jv-647m