Das Model Context Protocol ist die Steckdose, über die KI-Assistenten an deine echten Daten kommen. Genau deshalb tut es weh, wenn zwei solcher Steckdosen die schlechtestmögliche Sicherheitsnote bekommen: 10,0 von 10. Beide Lücken wurden Mitte September veröffentlicht.
FALL 1: Der MySQL-Server, der einfach jeden reinlässt
CVE-2026-59971 betrifft mysql_mcp_server — eine verbreitete Brücke, über die ein KI-Modell SQL-Abfragen gegen eine echte Datenbank ausführen kann. Veröffentlicht wurde die Lücke am 15. September 2026, die Wertung liegt bei CVSS 10.0.
Das Problem steckt im Betriebsmodus MCP_TRANSPORT=sse. In allen Versionen vor 0.4.2 passiert dabei gleich dreierlei auf einmal:
- Der Transport wird ohne Sicherheitseinstellungen aufgebaut — insbesondere ohne Schutz gegen DNS-Rebinding.
- Die Routen haben überhaupt keine Authentifizierung.
- Der Dienst lauscht standardmäßig auf 0.0.0.0 — also auf allen Netzwerkschnittstellen.
Zusammengenommen heißt das: Wer den Port erreicht, ruft die SQL-Ausführung direkt auf. Kein Passwort, kein Token, nichts.
UNGLAUBLICH: Der Browser als Komplize
Der zweite Weg ist noch unangenehmer, weil er auch lokal gebundene Dienste erwischt. Über DNS-Rebinding bringt ein Angreifer den Browser eines Opfers dazu, Anfragen an den eigenen Rechner weiterzureichen. Der Browser hält die fremde Seite dann für denselben Ursprung — und der MCP-Server antwortet brav.
Das ist der Grund, warum „läuft ja nur auf localhost“ hier kein Schutzargument ist.
Richtig bitter wird es, wenn das verwendete MySQL-Konto FILE-Rechte besitzt. Dann lassen sich über denselben Zugang Dateien auf dem Server lesen und schreiben — und daraus kann Codeausführung werden. Die Abhilfe: Version 0.4.2.
FALL 2: Die Sandbox, die keine ist
CVE-2026-53710 trifft IBM MCP Context Forge, genauer den Baustein python_sandbox_server. Auch hier: CVSS 10.0.
Der Baustein soll fremden Python-Code in einer abgeschotteten Umgebung ausführen — auf Basis von RestrictedPython. Diese Abschottung lässt sich jedoch über die eingebaute Funktion getattr umgehen. Damit ist die Sandbox genau das, was eine Sandbox nie sein darf: eine Zusicherung, auf die man sich nicht verlassen kann. Betroffen sind alle Installationen vor Version 1.0.2.
WAS DU JETZT TUN SOLLTEST
- Inventur: Welche MCP-Server laufen bei dir überhaupt? In Docker-Compose-Dateien und Container-Listen nachsehen — MCP-Brücken werden oft nebenbei mitgestartet und dann vergessen.
- Aktualisieren: mysql_mcp_server auf 0.4.2, MCP Context Forge auf 1.0.2 oder neuer.
- Ports zumachen: Kein MCP-Server gehört ungeschützt ins offene Netz. Bindung auf
127.0.0.1statt0.0.0.0, davor ein Reverse-Proxy mit Authentifizierung. - Rechte kürzen: Das Datenbankkonto hinter einer KI-Brücke braucht in aller Regel keine FILE-Rechte und oft nicht einmal Schreibrechte. Genau hier entscheidet sich, ob aus einem Datenleck ein übernommener Server wird.
FAZIT: Das Muster wiederholt sich
Beide Fälle haben denselben Kern — und der hat wenig mit KI zu tun. Es sind fehlende Authentifizierung und zu großzügige Voreinstellungen, also die klassischen Fehler aus zwanzig Jahren Serverbetrieb. Nur landen sie diesmal in Software, die per Definition Zugriff auf die wertvollsten Daten bekommt. Wer MCP im Homelab nutzt, behandelt diese Dienste am besten wie eine offene Datenbank: niemals ohne Vorhängeschloss ins Netz.