セキュリティファンスコア 20 · ティア C
MCPのOAuthは更新だけでは塞がらない――手元で再現して点検ツールを作った
要点
- MCP公式SDKには2025年12月から2026年10月にかけてセキュリティアドバイザリが続けて出ている
- 記事が扱うのはそのうちの一つで、OAuthでMCPサーバーに接続するクライアントに関する問題である
- 筆者は問題を手元で再現し、点検ツールを作成した。更新だけでは脆弱性は塞がらないと検証している
なぜ重要か
MCP SDKを使ってOAuth連携を実装している開発者は、バージョンを上げただけで安全と判断せず、自分の実装が再現する問題を含んでいないか点検する必要がある。
影響を受ける人
- MCP公式SDKを利用する開発者
- OAuthでMCPサーバーに接続する開発者
取るべき対応
- 利用中のMCP SDKのセキュリティアドバイザリを確認する
- OAuth接続部分を記事の再現手順に沿って点検する
はじめに MCP（Model Context Protocol）の公式 SDK には、2025年12月から2026年10月にかけてセキュリティアドバイザリが続けて出ました。この記事で扱うのはそのうちの一つで、OAuth で MCP サーバーに接続するクライアントが、MC...