CISA je 2. rujna 2026. prvi put dodala ranjivost Model Context Protocola u svoj katalog Known Exploited Vulnerabilities. Pet dana kasnije pojavila se druga, ozbiljnija pogreška u drugom, široko korištenom MCP poslužitelju. Nijedna nije egzotičan propust specifičan za MCP — jedna je rezervni put autentifikacije koji je propuštao umjesto da blokira, druga je zaobilaženje ovlasti u bazi podataka — i upravo je to poanta: MCP je sada dovoljno raširen da ga obaraju obične klase pogrešaka u običnoj infrastrukturi.

Prvi MCP unos na CISA-inu popisu iskorištavanih ranjivosti

CVE-2026-59822 je zaobilaženje autentifikacije u LiteLLM-u, proxyju otvorenog koda koji velik dio samostalno hostanih AI sustava koristi za usmjeravanje poziva prema modelima i, za mnoge timove, prema njihovim MCP poslužiteljima. CISA ga je 2. rujna dodala u katalog Known Exploited Vulnerabilities, s rokom za otklanjanje do 16. rujna za savezne sustave SAD-a — brz rok koji je, prema novoj obvezujućoj operativnoj direktivi agencije 26-04, rezerviran za propuste koji su potvrđeno iskorištavani, dostupni s javnog interneta i lako ih je automatizirati. Koliko možemo procijeniti, to je prva implementacija Model Context Protocola koja se pojavila na tom popisu.

Kako je zaobilaženje funkcioniralo

LiteLLM-ova MCP Streamable HTTP krajnja točka provjerava ključ pozivatelja i ima rezervni put za prosljeđivanje uzvodnog OAuth2. Kada provjera ključa nije uspjela, rezervni put nije odbio zahtjev — umetnuo je prazan objekt UserAPIKeyAuth() i ipak propustio poziv. Zahtjev koji nije nosio ništa osim izmišljenog zaglavlja Authorization mogao je doći do bilo kojih konfiguriranih MCP alata, bez potrebe za valjanim ključem. Ispravak, isporučen u verziji 1.84.0, zatvara taj rezervni put. LiteLLM je sigurnosnu obavijest objavio još u lipnju; CISA-in unos dva mjeseca kasnije potvrdio je da se propust stvarno koristi protiv stvarnih sustava, a ne samo da je teoretski iskoristiv.

Druga, ozbiljnija pogreška pet dana kasnije

AWS Labs je 9. rujna objavio CVE-2026-87911 u vlastitom postgres-mcp-server: kritičan propust s CVSS ocjenom 9,6 u kojem se SQL provjera iza načina samo za čitanje mogla zaobići posebno sastavljenom naredbom COPY ... TO PROGRAM, što napadaču omogućuje izvođenje naredbi operativnog sustava na poslužitelju baze podataka. Pogađa samo kada se MCP poslužitelj povezuje s ulogom koja ima ovlasti superuser ili pg_execute_server_program — prečac koji koriste mnoga brza postavljanja, jer je to put najmanjeg otpora dok netko umjesto tebe ne pročita sigurnosnu obavijest. Ispravljeno u 1.1.7.

Zašto se ovo događa baš MCP-u

Nijedna pogreška nije propust u MCP specifikaciji — rezervni put autentifikacije koji propušta i eskalacija ovlasti putem COPY TO PROGRAM klase su pogrešaka stare koliko i tehnologije ispod njih. Promijenilo se to da je njihovo otklanjanje u ubrzanom roku sada vrijedno vremena CISA-e i AWS-a, jer MCP poslužitelji stoje točno ondje gdje i baza podataka ili API gateway: dostupni su, drže vjerodajnice i sada su dovoljno česti da budu klasa meta, a ne zanimljivost. CISA-ina serija od 2. rujna zabilježila je sedam iskorištavanih propusta; za tri, uključujući ovaj, navedeno je da ciljaju upravo AI infrastrukturu.

Što zapravo učiniti

  • Ažuriraj LiteLLM na 1.84.0+ i postgres-mcp-server na 1.1.7+ ako koristiš bilo koji od njih — oba ispravka već su dostupna.
  • Koji god MCP poslužitelj dira bazu podataka, poveži ga s ulogom ograničenom na tablice i operacije koje mu stvarno trebaju, nikad kao superuser. Način samo za čitanje sigurnosna je mreža, a ne zamjena za ovlasti na razini baze podataka.
  • Testiraj put neuspjeha svoje autentifikacije, a ne samo put uspjeha. Provjera koja pri neuspjehu propušta gora je od one koja se sruši, a izvana izgledaju jednako dok netko ne pronađe rupu.
  • Ako ne možeš odmah ažurirati, stavi MCP proxy iza gatewaya koji sam može blokirati ili ograničiti broj zahtjeva na rutama /mcp/.

To ujedno naglašava ono što naš vlastiti OAuth popis za provjeru govori od kolovoza: specifikacija zahtijeva OAuth 2.1 na svakom MCP poslužitelju, a mnogi poslužitelji i dalje to preskaču. Ova dva CVE-a cijena su tog preskakanja u praksi — ne hipoteza, nego datirani unos u CISA-inu katalogu s rokom za otklanjanje.