Krytyczna luka RCE w aws-mcp-server (CVE-2026-5058)

Co wiadomo

W aws-mcp-server wykryto krytyczną lukę umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia poprzez wstrzyknięcie poleceń. Problem wynika z braku odpowiedniej walidacji listy dozwolonych poleceń, co pozwala atakującemu na wykonanie dowolnego kodu w kontekście serwera MCP.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla systemów korzystających z aws-mcp-server, ponieważ umożliwia nieautoryzowane przejęcie kontroli nad serwerem. Może to prowadzić do utraty danych, przerw w działaniu usług oraz naruszenia integralności infrastruktury IT. Operatorzy powinni traktować tę podatność jako priorytetową do zaadresowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji lub poprawek od dostawcy aws-mcp-server. W międzyczasie warto ograniczyć ekspozycję serwera w sieci, monitorować logi pod kątem podejrzanych aktywności oraz przeprowadzić ocenę ryzyka i priorytetyzację działań zabezpieczających.

Źródła

• NVD
• Reference