Nach Darstellung von OX Security stellt das Model Context Protocol über seine STDIO-Schnittstelle in allen Implementierungen eine direkte Verbindung von der Konfiguration zur Befehlsausführung her – unabhängig von der verwendeten Programmiersprache. Eigentlich solle der betreffende Code einen lokalen STDIO-Server starten und dem Sprachmodell eine Verbindung zu dieser Schnittstelle zurückgeben. In der Praxis lasse sich darüber jedoch jeder beliebige Betriebssystembefehl ausführen: Erstellt der Befehl erfolgreich einen STDIO-Server, werde die Verbindung zurückgegeben; bei einem anderen Befehl liefere das System nach dessen Ausführung lediglich eine Fehlermeldung zurück.
Die zehn entdeckten Schwachstellen verteilen sich auf bekannte Projekte wie LiteLLM, LangChain, LangFlow, Flowise, LettaAI und LangBot. Sie lassen sich nach Angaben der Forscher in vier übergreifende Kategorien einordnen und führen jeweils zur Ausführung von Befehlen auf dem Server.
Auf demselben Grundproblem beruhende Schwachstellen wurden den Forschern zufolge im vergangenen Jahr bereits unabhängig voneinander gemeldet. Dazu zählen CVE-2025-49596 (MCP Inspector), CVE-2026-22252 (LibreChat), CVE-2026-22688 (WeKnora), CVE-2025-54994 (@akoskm/create-mcp-server-stdio) sowie CVE-2025-54136 (Cursor).
Anthropic habe es jedoch abgelehnt, die Architektur des Protokolls zu ändern, und das Verhalten als „erwartet" bezeichnet. Während einige Anbieter Patches veröffentlicht hätten, bleibe die Schwäche in Anthropics MCP-Referenzimplementierung bestehen. Entwickler übernähmen damit das Risiko der Codeausführung ungewollt mit.
Zur Eindämmung der Gefahr empfehlen die Forscher mehrere Maßnahmen: den öffentlichen Zugriff per IP-Adresse auf sensible Dienste blockieren, die Aufrufe von MCP-Werkzeugen überwachen, MCP-fähige Dienste in einer Sandbox betreiben, externe MCP-Konfigurationsdaten grundsätzlich als nicht vertrauenswürdig behandeln und MCP-Server nur aus geprüften Quellen installieren.
Warum es sich aus Sicht von OX Security nicht um eine einzelne Schwachstelle, sondern um einen Vorfall in der Lieferkette handelt, begründen die Forscher mit der Reichweite der Architekturentscheidung: Eine einmal getroffene Designentscheidung habe sich unbemerkt in jede Programmiersprache, jede nachgelagerte Bibliothek und jedes Projekt fortgepflanzt, das dem Protokoll vertraute. Die Verantwortung auf die Implementierer abzuwälzen verschiebe das Risiko nicht, so OX Security, sondern verschleiere nur, wer es verursacht habe.