Anthropic ने पुष्टी केली आहे की ते CVE-2026-30623 मध्ये सुधारणा (patch) करणार नाहीत, जो Model Context Protocol (MCP) SDKs मधील एक गंभीर कमांड-इंजेक्शन दोष (command-injection flaw) आहे, ज्यामुळे २,००,००० पेक्षा जास्त तैनात इन्स्टन्सेस (instances) असुरक्षित झाले आहेत. जे डेव्हलपर्स टूल इंटिग्रेशनसाठी MCP वर अवलंबून आहेत, त्यांनी या त्रुटीकडे तात्काळ धोका म्हणून पाहिले पाहिजे.

हा दोष का महत्त्वाचा आहे

MCP मुळे LLM-आधारित ॲप्लिकेशन्स प्रमाणित प्रोटोकॉलद्वारे बाह्य टूल्स वापरू शकतात. सर्व चार अधिकृत SDKs मध्ये एक STDIO ट्रान्सपोर्ट (transport) येते जे मॉडेलकडून कोणताही मजकूर स्वीकारते आणि तो थेट होस्ट शेलला (host shell) पाठवते. CVE-2026-30623 बगमुळे एखादे घातक मॉडेल—किंवा एखादे संशयास्पद टूल वर्णन (tool description)—असा कोणताही कमांड इंजेक्ट करू शकते जो होस्ट प्रोसेस कार्यान्वित करू शकते. Anthropic चे म्हणणे आहे की ही वर्तणूक हेतुपुरस्सर आहे आणि त्यांनी सुधारणा (fix) देण्यास नकार दिला आहे, याचा अर्थ असा की सुमारे १५ कोटी SDK डाउनलोड्सच्या सध्याच्या सप्लाय चेनमध्ये ही त्रुटी कायम राहील.

हल्लेखोर काय करू शकतात

  • कमांड इंजेक्शन – जो कोणी सर्व्हरच्या कॉन्फिगरेशन फाईलमध्ये बदल करू शकतो, तो होस्ट मशीनवर शेल कमांड्स चालवू शकतो, ज्यामुळे संभाव्यतः पूर्ण सिस्टमचा प्रवेश मिळू शकतो.
  • टूल पॉयझनिंग – टूलच्या वर्णनात घातक सूचना समाविष्ट करून, हल्लेखोर मॉडेलला क्लाउड क्रेडेंशियल्ससारखा संवेदनशील डेटा बाह्य एंडपॉइंटवर पाठवण्यासाठी फसवू शकतात.
  • कमकुवत ऑथेंटिकेशन – १,४०० MCP सर्व्हरच्या सर्वेक्षणात असे आढळले की ३८.७% सर्व्हरमध्ये कोणतेही ऑथेंटिकेशन नाही, ज्यामुळे इंजेक्शनचा मार्ग सहज उपलब्ध होतो.
  • कमी ट्रस्ट स्कोअर – केवळ १२.९% इंडेक्स्ड MCP सर्व्हर समुदायाचे उच्च-विश्वास निकष पूर्ण करतात, ज्यावरून असे दिसून येते की बहुतांश सर्व्हर किमान सुरक्षा उपायांसह कार्यरत आहेत.

हे सर्व घटक मिळून एक सप्लाय-चेन अटॅक सरफेस (attack surface) तयार करतात ज्याचा मोठ्या प्रमाणावर वापर केला जाऊ शकतो, विशेषतः अशा वातावरणात जिथे MCP सर्व्हर सार्वजनिक SDK रिपॉझिटरीजमधून आपोआप प्रोव्हिजन केले जातात.

आगामी स्पेसिफिकेशन बदल – आणि ते आता का मदत करणार नाहीत

२८ जुलै रोजी नवीन MCP स्पेसिफिकेशन रिलीज कॅन्डिडेट (release candidate) येण्याचे नियोजित आहे. हे OAuth 2.1 आणि OpenID Connect कडे अधिकृतता (authorization) वळवते आणि स्टँडर्ड लोड बॅलन्सरच्या मागे असलेल्या सर्व्हरसाठी सपोर्ट जोडते. जरी हे बदल सुरक्षा मॉडेलमध्ये सुधारणा करत असले, तरी ते २,००,००० असुरक्षित इन्स्टन्सेसद्वारे वापरल्या जाणाऱ्या STDIO ट्रान्सपोर्टला मागील प्रभावाने (retroactively) पॅच करत नाहीत. तसेच, स्पेसिफिकेशन अपडेटनंतर डेव्हलपर्सना विषारी टूल वर्णने प्रकाशित करण्यापासून ते रोखत नाहीत.

डेव्हलपर्स आज धोका कसा कमी करू शकतात

  • STDIO-आधारित सर्व्हरचे ऑडिट करा – जर तुम्ही MCP सर्व्हर सुरू करणाऱ्या कॉन्फिगरेशन फाईलवर नियंत्रण ठेवत नसाल, तर त्याला अविश्वसनीय समजा आणि STDIO ट्रान्सपोर्ट वापरणे टाळा.
  • टूल मेटाडेटा तपासा – डेटा बाहेर पाठवू शकणाऱ्या (exfiltrate) लपलेल्या कमांड्स किंवा URL साठी प्रत्येक टूलच्या वर्णनाकडे बारकाईने पहा.
  • लोकप्रियता मेट्रिक्सकडे दुर्लक्ष करा – उच्च इन्स्टॉलेशन संख्या सुरक्षित अंमलबजावणीची हमी देत नाही; प्रत्येक डिप्लॉयमेंटकडे एक स्वतंत्र धोका म्हणून पहा.
  • OAuth 2.1 अवलंबनाचे प्रमाणीकरण करा – सर्व्हर केवळ "MCP-सुसंगत" असल्याचा दावा करण्याऐवजी खरोखर OAuth 2.1 आणि OpenID Connect लागू करतो की नाही याची खात्री करा.

पुढे काय पाहावे

अंमलबजावणी मार्गदर्शक (implementation guides) आणि STDIO ट्रान्सपोर्टवर उपाययोजना करणाऱ्या पुढील पॅचेसवर लक्ष ठेवा. तोपर्यंत, सुरक्षित मार्ग म्हणजे STDIO च्या जागी अधिक नियंत्रित ट्रान्सपोर्ट लेयर वापरणे किंवा अशा पर्यायी टूल-कॉलिंग फ्रेमवर्कवर स्थलांतरित होणे जे असुरक्षित कोड पाथवर अवलंबून नाहीत.

थोडक्यात सांगायचे तर: Anthropic च्या निर्णयामुळे एक मोठा आणि सहजपणे वापरता येण्याजोगा अटॅक सरफेस शिल्लक राहिला आहे. ज्या डेव्हलपर्सना त्यांच्या MCP सर्व्हरची अखंडता (integrity) सुनिश्चित करता येत नाही, त्यांनी STDIO ट्रान्सपोर्टपासून दूर जावे आणि त्यांचे सिस्टम घातक कमांड्सचे माध्यम बनू नये म्हणून प्रत्येक टूल वर्णनाचे बारकाईने परीक्षण करावे.

Source: https://dev.to/gentic_news/mcps-cve-2026-30623-anthropic-wont-fix-stdio-command-injection-mh6