שער שנועד לרכז גישה לשרתי MCP יכול היה להפוך לצינור אל תוך הרשת הפנימית. AWS פרסמה ב-11 בנובמבר 2026 עלון אבטחה על CVE-2026-125926, חולשת SSRF ב-mcp-gateway-registry שנובעת מאימות לא מספיק של כתובת ה-Upstream בעת רישום או שינוי שרת.
לפי AWS, משתמש מאומת שיש לו הרשאה לרשום שרת או לשנותו יכול היה להזין כתובת שגורמת ל-Gateway לשלוח בקשות לשירותים ברשת הפנימית של הפריסה. בחלק מהמקרים התשובות משירותים אלה אף הוחזרו למשתמש.
מהו mcp-gateway-registry?
זהו פרויקט קוד פתוח שמרכז גילוי, בקרת גישה ו-Proxy לנכסי כלי MCP. במקום שכל סוכן AI יכיר כל שרת בנפרד, הוא פונה לשער מרכזי שמנהל את השרתים והכלים הרשומים.
הארכיטקטורה הזאת מפשטת ניהול, אך גם הופכת את השער לנקודת אמון רגישה: הוא מחובר מצד אחד למשתמשים ולסוכנים, ומצד שני לשירותים פנימיים, מאגרי קוד, מסדי נתונים ו-API של ענן.
איך חולשת SSRF פועלת?
SSRF — Server-Side Request Forgery — מתרחשת כאשר שירות מקבל כתובת מהמשתמש ופונה אליה מהשרת בלי לאמת כראוי את היעד. התוקף אינו חייב להגיע ישירות לשירות פנימי; הוא גורם לרכיב המורשה לעשות זאת במקומו.
במקרה הזה, משתמש בעל הרשאת רישום או שינוי שרת יכול היה להגדיר כתובת Upstream שמצביעה ליעד פנימי. מאחר שהבקשה יוצאת מתוך סביבת ה-Gateway, היא עשויה להגיע לכתובות שאינן נגישות מהאינטרנט.
אילו גרסאות מושפעות?
- מושפעות: גרסה 1.0.3 ועד 1.34.0, כולל.
- מתוקנת: גרסה 1.35.0 ומעלה.
- מי צריך לבדוק: כל מי שמפעיל mcp-gateway-registry, לרבות Forks וקוד נגזר.
השדרוג אינו מסיים את העבודה
AWS מדגישה נקודה חשובה: גרסה 1.35.0 מאמתת כתובות כאשר שרת נרשם או משתנה, אך אינה מתקנת אוטומטית הגדרות שנשמרו לפני השדרוג. כלומר, כתובת Upstream זדונית או שגויה שכבר קיימת עשויה להישאר במאגר גם לאחר התקנת הגרסה המתוקנת.
חמש פעולות שמומלץ לבצע
- שדרגו ל-1.35.0 או לגרסה חדשה יותר.
- עברו על כל כתובות ה-Upstream: תקנו או הסירו יעד שלא הוגדר במכוון.
- בדקו לוגים: חפשו רישומי שרת ושינויים לא צפויים בתקופה שבה פעלה גרסה פגיעה.
- בדקו את תפקיד הענן: אם אי אפשר לשלול פעילות חריגה, עברו על פעילות ה-Role וסובבו Credentials.
- הגבילו Egress: אפשרו לרכיבי Registry ו-Auth לצאת רק ליעדים הנחוצים.
הגנות ביניים למי שלא יכול לשדרג מיד
AWS ממליצה להגביל הרשאת רישום ושינוי שרתים לחשבונות מהימנים בלבד, לצמצם תעבורה יוצאת, לדרוש IMDSv2 ב-EC2 ולהעניק לכל רכיב Role בהרשאות מינימליות. החברה מדגישה שהצעדים האלה מפחיתים סיכון אך אינם מחליפים שדרוג ובדיקת הגדרות קיימות.
למה זה חשוב לכל סביבת AI ארגונית?
Gateway של MCP אינו עוד Reverse Proxy רגיל. הוא מתווך בין סוכן AI לבין כלים שמסוגלים לקרוא ולשנות מערכות. לכן כתובת Upstream היא אובייקט אבטחה: צריך להגביל סכמות ופורטים, לחסום כתובות Loopback ו-Link-local, למנוע גישה לטווחים פנימיים לא מורשים ולבדוק את היעד גם לאחר Redirect.
כדאי לשלב Allowlist של יעדים, הפרדת רשת בין רכיבים, Audit Log מלא והתראות על שינויי רישום. אם השער מחזיק הרשאות ענן או Credentials לשרתים רשומים, כל חשד ל-SSRF צריך להוביל גם לבדיקת גישה למטא-דאטה ולסיבוב סודות במקרה הצורך.
השורה התחתונה
CVE-2026-125926 פוגעת בגרסאות 1.0.3–1.34.0 של mcp-gateway-registry. יש לשדרג ל-1.35.0 לפחות, אך לא לעצור שם: צריך לבדוק כתובות Upstream קיימות, לוגים והרשאות, משום שהגרסה החדשה אינה מנקה הגדרות שנשמרו קודם.
מקורות: AWS Security Bulletin 2026-180-AWS; AWS Prescriptive Guidance — MCP strategies.
תמונה ראשית: Qeis Ismail / Unsplash, דף המקור. רישיון Unsplash מתיר שימוש מסחרי ולא-מסחרי באתר, בסושיאל ובשיווק; אין למכור עותק ללא שינוי או ליצור מאגר תמונות מתחרה.
