Anthropic אישרה כי לא תתקן את CVE-2026-30623, פרצת הזרקת פקודות (command-injection) קריטית ב-SDKs של ה-Model Context Protocol (MCP), מה שמותיר למעלה מ-200,000 מופעים (instances) פרוסים חשופים. מפתחים המסתמכים על MCP לצורך אינטגרציה של כלים צריכים להתייחס לפגיעות זו כסיכון מיידי.

מדוע הפרצה משמעותית

MCP מאפשר לאפליקציות מבוססות LLM להפעיל כלים חיצוניים באמצעות פרוטוקול סטנדרטי. כל ארבעת ה-SDKs הרשמיים כוללים שכבת STDIO transport שמקבלת טקסט שרירותי מהמודל ומזינה אותו ישירות ל-shell של המארח. הבאג CVE-2026-30623 מאפשר למודל זדוני — או לתיאור כלי שהושחת — להזריק כל פקודה שהתהליך המארח יכול להריץ. Anthropic טוענת כי ההתנהגות היא מכוונת וסירבה להוציא תיקון, מה שאומר שהפגיעות נשארת בשרשרת האספקה הנוכחית של כ-150 מיליון הורדות SDK.

מה תוקפים יכולים לעשות

  • הזרקת פקודות (Command injection) – כל מי שיכול לערוך קובץ הגדרות של שרת יכול להריץ פקודות shell במכונה המארחת, מה שעלול להוביל לגישה מלאה למערכת.
  • הרעלת כלים (Tool poisoning) – על ידי הטמעת הוראות זדוניות בתיאור של כלי, תוקף יכול להטעות את המודל לשלוח נתונים רגישים, כגון אישורי ענן (cloud credentials), לנקודת קצה חיצונית.
  • אימות (authentication) חלש – סקר של 1,400 שרתי MCP מצא כי ל-38.7% מהם אין אימות כלל, מה שהופך את נתיב ההזרקה לנגיש בקלות.
  • ציוני אמון נמוכים – רק 12.9% משרתי ה-MCP המאונדקסים עומדים בקריטריוני האמון הגבוהים של הקהילה, מה שמעיד על כך שרובם פועלים עם אמצעי הגנה מינימליים.

וקטורים אלו יוצרים יחד שטח תקיפה של שרשרת האספקה שניתן לנצל בקנה מידה רחב, במיוחד בסביבות שבהן שרתי MCP מוקצים באופן אוטומטי ממאגרי SDK ציבוריים.

שינויים עתידיים במפרט – ומדוע הם לא יעזרו כעת

גרסת מועמדת (release candidate) חדשה של מפרט MCP מתוכננת ל-28 ביולי. היא דוחפת את מנגנון ההרשאות לכיוון OAuth 2.1 ו-OpenID Connect ומוסיפה תמיכה בשרתים שנמצאים מאחורי מאזני עומסים (load balancers) סטנדרטיים. למרות שהשינויים משפרים את מודל האבטחה, הם אינם מתקנים רטרואקטיבית את ה-STDIO transport המשמש את 200,000 המופעים הפגיועים. הם גם לא ימנעו ממפתחים לפרסם תיאורי כלים מורעלים לאחר עדכון המפרט.

כיצד מפתחים יכולים לצמצם את החשיפה כיום

  • בצעו ביקורת (Audit) לשרתים מבוססי STDIO – אם אינכם שולטים בקובץ ההגדרות שמפעיל את שרת ה-MCP, התייחסו אליו כאל לא מהימן והימנעו משימוש ב-STDIO transport.
  • בדקו את המטא-דאטה של הכלים – בחנו מקרוב את תיאור כל כלי כדי לחפש פקודות או כתובות URL נסתרות שעלולות להוציא נתונים (exfiltrate data).
  • התעלמו ממדדי פופולריות – מספר התקנות גבוה אינו מבטיח מימוש מאובטח; התייחסו לכל פריסה כסיכון נפרד.
  • אמתו את אימוץ OAuth 2.1 – ודאו ששרת אכן מיישם OAuth 2.1 ו-OpenID Connect ולא רק טוען לסטטוס "תואם MCP".

מה כדאי לעקוב אחריו בהמשך

עקבו אחר מדריכי יישום וכל תיקון עוקב שיטפל ב-STDIO transport. עד אז, הדרך הבטוחה ביותר היא להחליף את ה-STDIO בשכבת תעבורה (transport layer) מבוקרת יותר או לעבור למסגרות עבודה (frameworks) חלופיות לקריאת כלים שאינן מסתמכות על נתיב הקוד הפגיע.

שורה תחתונה: ההחלטה של Anthropic משאירה שטח תקיפה גדול וקל לניצול. מפתחים שאינם יכולים להבטיח את שלמות שרתי ה-MCP שלהם חייבים להתרחק משימוש ב-STDIO transport ולבחון בקפידה כל תיאור כלי כדי למנוע מהמערכות שלהם להפוך לצינור לפקודות זדוניות.

Source: https://dev.to/gentic_news/mcps-cve-2026-30623-anthropic-wont-fix-stdio-command-injection-mh6