Vulnerabilidade crítica no protocolo MCP da Anthropic expõe milhões de sistemas

A equipa de investigação da OX Security revelou, a 15 de abril de 2026, uma vulnerabilidade crítica no Model Context Protocol (MCP) da Anthropic que expõe mais de 150 milhões de downloads e até 200.000 servidores a uma tomada de controlo total.

O que torna esta falha particularmente grave é a sua natureza: não se trata de um erro de programação, mas sim de uma decisão de design arquitetural incorporada diretamente nos SDKs oficiais do MCP da Anthropic em todas as linguagens suportadas, incluindo Python, TypeScript, Java e Rust. Qualquer programador que desenvolva sobre o MCP herda automaticamente esta exposição.

Os investigadores identificaram quatro famílias de exploração distintas:

• CVE-2026-30615 - Windsurf e Cursor: injeção de prompt sem interação do utilizador (Critical, Reported)

• CVE-2026-30623 - LiteLLM: Execução de código remota autenticada via configuração JSON (Critical, Patched)

• CVE-2026-30617 - Langchain-Chatchat: Injeção de UI não autenticada (Critical, Reported)

• CVE-2025-65720 - GPT Researcher: Injeção de UI e shell reversa (Critical, Reported)

• CVE-2026-30618 - Fay Framework: Execução de código remota não autenticada via Web-GUI (Critical, Reported)

A investigação resultou em pelo menos 10 CVEs, vários deles classificados como Críticos, afetando plataformas como LiteLLM, LangChain e IBM LangFlow.

Apesar de a OX Security ter proposto correções à Anthropic, a empresa recusou, descrevendo o comportamento como "esperado". Desta forma, a causa raiz permanece por corrigir ao nível do protocolo.

Recomendações de segurança

• Bloquear o acesso público a serviços de IA ligados a APIs sensíveis,

• Tratar todas as configurações externas como não confiáveis,

• Usar apenas servidores MCP de fontes verificadas

• Executar os serviços em ambientes isolados (sandbox).

Monitorização

• Ligações de saída repentinas do processo do IDE para IP's externos

• Downloads de pacotes de registos não oficiais (domínios fora do Github)

• Execução de curl ou wget logo após o carregamento de configuração

• Tráfego http interno para a porta do Flowise seguido de ligação externa

Referências

• Blogue da investigação da OX: https://www.ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp/