AWS、mcp-gateway-registryのCVE-2026-125926とCVE-2026-100307を公表
サーバー登録・更新APIのSSRFと、管理APIの認可不備。両方に対応するには1.35.0以降へ更新します。
AWS告知の公表日（米国時間）：2026-11-11 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
AWSは11月11日（米国時間）、オープンソースのmcp-gateway-registryの脆弱性を公表しました。CVE-2026-125926はサーバーの登録・更新APIのSSRFで、認証済みの利用者からの操作を通じて、ゲートウェイがアクセスできる内部サービスに影響が及ぶおそれがあります。対象は1.0.3〜1.34.0で、1.35.0で修正されています。
別の告知のCVE-2026-100307は、外部管理APIの認可不足による権限昇格です。対象は1.0.9〜1.24.7で、1.25.0に修正が入っています。両方に対応する場合は、1.35.0以降を導入し、独自フォークにも修正が入っているか確認します。
出典と編集について
AWS：AWS-2026-180：CVE-2026-125926 ↗AWS-2026-179：CVE-2026-100307 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。