ما المشكلة؟
MCP هو المعيار الذي تستخدمه وكلاء الذكاء الاصطناعي لاستدعاء الأدوات ومصادر البيانات. وفي ثغرة SSRF يأخذ خادم MCP عنواناً أو مساراً من الوكيل ويبني منه طلباً صادراً دون التحقق من الجهة التي يقود إليها فعلاً، فيتحكم من يوجّه الوكيل في الأنظمة التي يتصل بها الخادم، بما فيها الأنظمة الداخلية. وكان Mohiuddin قد طرح في مايو أن المشكلة بنيوية، وتوقع أن تقع فيها فرق لا تتشارك الشيفرة.
كيف أُصلحت الثغرات؟
وفق التنبيه المنشور على GitHub، افتقر عميل HTTP في أداة جوجل إلى سياسة تقييد لإعادة التوجيه وإلى فحص عناوين IP المستهدفة، وتضمّن إصلاح جوجل حماية من DNS rebinding وقوائم لنطاقات IP المسموحة والمحظورة. وفي مستودع JPMorgan مفتوح المصدر، كانت إحدى أداتي الجلب تتحقق من النطاقات عبر قائمة سماح بينما تجلب الأخرى أي عنوان، وقد ثبّت فريق الإفصاح المسؤول في البنك الثغرة ونشر إصلاحاً. وقيّدت Weaviate إعدادات وحدة جوجل لديها بمضيفات Google API، وأصلحت DINUM خادمها لمنصة البيانات المفتوحة الفرنسية. أما خادم Wazuh MCP في تانغيرانغ فكان يرفض عناوين IP الحرفية فقط ولا يحلّ أسماء النطاقات. كما أصلحت Rapid7 ثغرة حقن GraphQL مختلفة، CVE-2026-97228، بدرجة منخفضة 2.7.
ما الذي لم يُصلح بعد؟
في 2 سبتمبر أبلغ الباحث بشكل خاص عن مشكلات في خمسة خوادم MCP تابعة لخدمات التحول التقني في إدارة الخدمات العامة الأمريكية، منها خوادم لمطالبات مزايا قدامى المحاربين وregulations.gov وUSASpending، وكلها ما زالت قيد الفرز. وفي حالة قدامى المحاربين يسجل الخادم استجابات الخطأ كاملة دون حجب، وقد تتضمن الاسم ورقم الضمان الاجتماعي وتاريخ الميلاد والعنوان. كما لا يزال بلاغه عن خادم الوكالة الرقمية اليابانية، الذي يعمل دون مصادقة، مفتوحاً.
ما هو التمحور عبر البروتوكول؟
يطلق الباحث على فئة الهجوم الأوسع اسم protocol pivoting: يزرع المهاجم نصاً في محتوى تعيده أداة MCP على هيئة مهمة لبروتوكول A2A من جوجل، فيمرره الوكيل المنسق إلى وكيل فرعي ينفذه لأنه يثق بالمنسق. ويصنف Markus Vervier من X41 D-Sec الأسلوب نوعاً من حقن الأوامر غير المباشر.
