MCP 서버 5곳에서 같은 SSRF 결함이 수정됐다
독립 연구자가 구글·JP모건 체이스·Weaviate·프랑스 정부 부처·인도네시아 탄게랑시의 MCP 서버에서 같은 종류의 SSRF 결함을 찾았고, 5곳 모두 보안팀이 확인해 고쳤다고 밝혔다. 구글 건은 CVE-2026-14540(심각도 8.0)이다.
독립 보안 연구자 시드 아나스 모히우딘(Syed Anas Mohiuddin)이 10월 공개한 글에서, 모델 컨텍스트 프로토콜(, MCP) 서버의 같은 종류 결함이 서로 무관한 5개 조직에서 따로 확인되고 수정됐다고 밝혔다. 구글, JP모건 체이스(JPMorgan Chase), Weaviate, 프랑스 정부 부처 간 디지털국(DINUM), 인도네시아 탄게랑시 정부다. 글에 따르면 각 조직의 보안팀이 직접 확인했다.
결함은 (server-side request forgery, SSRF)다. MCP 서버는 가 넘긴 URL이나 경로로 바깥 요청을 만드는데, 그 요청이 실제로 어디에 닿는지 검사하지 않으면 에이전트가 서버의 접속 대상을 정하게 된다. 에이전트는 외부에서 온 글을 읽고 움직이므로, 글에 지시를 심은 사람이 사실상 접속 대상을 정할 수 있다.
구글 건은 데이터베이스용 MCP 도구 모음(googleapis/mcp-toolbox)이다. 미국 국립 취약점 데이터베이스(NVD) 기록에 따르면 0.3.0부터 1.4.0 버전의 HTTP 클라이언트가 리디렉션 처리 정책(CheckRedirect)을 두지 않고 대상 IP 주소도 검증하지 않아, 조작한 경로 매개변수로 내부 주소에 요청을 보낼 수 있었다. CVE-2026-14540이며 심각도(CVSS 4.0)는 8.0, 공개일은 7월 31일이다. 수정 PR은 6월 18일 병합됐다. 연구자는 이 수정이 연결 시점에 주소를 검사하고 IP 대역 허용·차단 목록을 적용하며 안전하지 않은 기본 URL을 시작할 때 거부하는 방식이라고 썼다. JP모건 체이스 건은 AWS 프로젝트를 포크한 문서 검색 서버에서 나왔다. 한 도구는 도메인 허용 목록을 거치지만 다른 도구 related()는 호출자가 준 URL을 검사 없이 가져왔고, 수정이 배포됐다고 한다.
Rapid7은 SSRF가 아닌 다른 결함이다. Bulk Export MCP가 GraphQL 쿼리에 식별자를 걸러내지 않고 넣었고(CVE-2026-97228, 심각도 2.7), 0.6.2 버전에서 고쳐졌다. 미국 연방정부용 MCP 서버 5곳에 낸 제보는 9월 2일 접수돼 분류 중이라 연구자도 확인된 사례로 세지 않았다.
연구자는 에이전트가 MCP로 받은 일을 구글의 에이전트 간(Agent-to-Agent, A2A) 프로토콜 같은 다른 경로로 다른 에이전트에 넘길 때 신뢰가 끊기는 공격 유형을 '프로토콜 피벗팅(protocol pivoting)'이라 부른다. SSRF와는 별개의 문제라고 글에 적었다. X41 D-Sec의 마르쿠스 베르비에(Markus Vervier)는 Ars Technica에 이를 간접 (indirect prompt injection)의 하위 유형으로 본다고 말했고, Rapid7의 더글러스 맥키(Douglas McKee)는 에서 도구로 넘어가는 모든 것을 인터넷의 낯선 사람이 보낸 입력처럼 다루라고 권했다.
연구자 공개 글, NVD의 CVE-2026-14540 기록, Rapid7 CVE 페이지, Ars Technica 기사는 10월 6일 직접 열어 확인했다. 연구자가 말한 JP모건 체이스·Weaviate·DINUM·탄게랑시 수정 내용은 각 저장소를 열어 보지 않고 연구자 글에 적힌 대로 옮겼다.
연구자는 구글의 수정이 "대부분의 MCP 서버가 해 온 것보다 많은 작업"이라고 썼다. 같은 결함이 코드 의존성 검사를 통과하는 곳에서 나왔다는 점이 이번 사례가 보여 주는 차이다. MCP 서버를 직접 만들거나 들여오는 쪽이 다음에 확인할 것은 도구 인자로 URL이나 주소를 받는 곳이 있는지, 요청이 닿는 대상을 제한하는 허용 목록이 있는지다.
