事件经过
一系列协调发布的 GitHub 安全公告（于 2026-10-27 发布）记录了大约九个 MCP 工具服务器中的 OS 命令注入问题。在每个案例中，一个可由代理调用的工具参数被直接插入 shell 命令而未经 shell 元字符中和处理，因此 MCP 客户端——包括被提示注入的代理——可以执行任意命令。供应商将这些命令注入类别描述为可通过提示注入达到（例如 DroidMind 的 Device.run_shell 允许列表绕过）。
影响分析
这是一个系统性的代理执行攻击类别：MCP 工具服务器是代理的双手，而大多数工具服务器没有将工具参数视为不可信输入。被提示注入的代理或受损的工具返回可获得运行 MCP 服务器的机器上的 OS 命令执行能力——攻击者可以从单个恶意提示横向移动到主机命令执行。这种广度（一天内 9 个以上服务器）表明这是一种普遍的编写习惯，而非孤立的错误。
攻击途径
共同模式：代理工具参数直接插入 shell 命令（execSync / run_shell / CLI 标志）而未经中和 $()、反引号或元字符替换。由于不可信内容通过提示注入到达这些参数，恶意提示或注入的工具返回可驱动代理以 MCP 服务器的权限执行任意 shell 命令。
受影响系统
CVE-2026-117558（ai-sdlc ≤0.31.2）、CVE-2026-117559（DroidMind ≤0.4.0）、CVE-2026-117560（ATXP ≤1.0.0）、CVE-2026-117561（sf-mcp ≤1.3.2）、CVE-2026-117567（esp-mcp）、CVE-2026-117568（mcp-ffmpeg ≤1.0.5）、CVE-2026-117569（Kali-GPT）、CVE-2026-117573（hagent）、CVE-2026-117570（nmap-mcp）——均发布于 2026-10-27
缓解措施
将每个列出的 MCP 服务器升级到其修补版本，禁用这些工具上的 shell 命令执行，并强制实施拒绝元字符的严格允许列表。审查代理提示/工具返回的信任边界，并对 MCP 服务器进程进行沙箱化。