Yapay zekâ ajanlarının dış araçlara bağlanmasını sağlayan Model Context Protocol (MCP) altyapısında yeni bir güvenlik açığı daha ortaya çıktı. Amazon Web Services (AWS), MCP sunucularını tek bir merkezden keşfetmeye, erişimini denetlemeye ve trafiğini aktarmaya yarayan açık kaynak mcp-gateway-registry aracında bir sunucu taraflı istek sahteciliği (SSRF) açığı bulunduğunu duyurdu.
CVE-2026-125926 koduyla izlenen açık, AWS’nin 2026-180-AWS numaralı bülteninde “Önemli” olarak sınıflandırıldı. GitHub güvenlik bildiriminde ise açığa CVSS ölçeğinde 8,5 (Yüksek) puan verildi. Açık, v1.0.3 ile v1.34.0 arasındaki sürümleri etkiliyor.
Açık nasıl çalışıyor?
mcp-gateway-registry, kurumların kullandığı MCP sunucularını kayıt altına alıyor ve ajanlardan gelen istekleri bu sunuculara iletiyor. Sorun, sunucu kaydetme ve güncelleme arayüzünde bulunuyor: Bu arayüz, kaydedilen bir sunucunun yönlendirileceği adresi (upstream) doğrulamıyordu.
Bu nedenle sunucu kaydetme ya da düzenleme yetkisine sahip bir kullanıcı, bu adresi kurumun iç ağındaki bir servise çevirebiliyordu. Ardından ağ geçidi bu iç servise istek gönderebiliyor ve bazı durumlarda gelen yanıtı doğrudan kullanıcıya geri döndürebiliyordu. Yani normalde dışarıdan erişilemeyen iç sistemler, ağ geçidinin “aracılığıyla” görünür hâle gelebiliyordu.
Bulut ortamlarında risk büyüyor
Açığın en tehlikeli boyutu bulut kurulumlarında ortaya çıkıyor. Ağ yapılandırmasına bağlı olarak ulaşılabilecek hedefler arasında bulut sunucusunun meta veri servisi ve bu servisin dağıttığı kimlik bilgileri de bulunuyor. Kayıt aracı bir bulut rolüyle çalışıyorsa, saldırgan bu rolün kimlik bilgilerini ele geçirip uygulama katmanındaki bir kötüye kullanımı bütün bulut hesabına yayılan bir erişime dönüştürebilir.
Güvenlik araştırmacıları, son dönemde MCP sunucularına yönelik keşif faaliyetlerinin bulut meta verisi üzerinden kimlik bilgisi çalmaya yönelik SSRF girişimleriyle birlikte görüldüğünü belirtiyor. URL kabul eden kayıt arayüzleri, doğası gereği güvenilen ve birçok yetkili kullanıcının erişebildiği noktalar olduğu için saldırganların ilgisini çekiyor.
Sürüm tuzağına dikkat
AWS, açığı 1.35.0 sürümünde kapattı; bu sürüm, sunucu kaydedilirken ya da değiştirilirken hedef adresi doğruluyor. Ancak yöneticilerin dikkat etmesi gereken bir ayrıntı var: Yönetim arayüzündeki farklı bir sorun 1.25.0 sürümünde giderilmişti. Bu nedenle 1.25.0 veya daha yeni bir sürüm kullananlar kendini güvende hissedebilir; oysa bu kurulumlar da 1.35.0’a geçene kadar yeni açıktan etkileniyor.
1.35.0 sürüm notları, Keycloak’ı paketle birlikte kuran Helm kurulumları için önemli bir değişiklik de içeriyor: Bu kurulumların yükseltmeden önce keycloak-client-secret sırrını benimsemesi gerekiyor.
Yükseltme tek başına yetmiyor
Yükseltme, daha önce kaydedilmiş sunucu kayıtlarını temizlemiyor. AWS, etkilenen bir sürüm kullanmış olanlara şu adımları öneriyor:
- Kayıtlı sunucuların hedef adreslerini gözden geçirin; bilmediğiniz ya da istemediğiniz adresleri düzeltin veya silin.
- Etkilenen dönemdeki uygulama kayıtlarında beklenmedik sunucu kayıtlarını ve değişiklikleri arayın.
- Kayıt aracı bir bulut rolüyle çalışıyorsa ve kayıtlar şüpheli etkinliği dışlayamıyorsa, rolün etkinliğini inceleyin ve kimlik bilgilerini yenileyin.
Hemen yükseltme yapamayan ekipler, sunucu kaydetme ve düzenleme yetkisini yalnızca güvenilir hesaplarla sınırlayabilir, kayıt aracının dışarıya açılan ağ erişimini kısıtlayabilir ve Amazon EC2 üzerinde IMDSv2 kullanımını zorunlu kılabilir. AWS, bu önlemlerin yükseltmenin yerini tutmadığını vurguluyor.
Açık, harici bir araştırmacı tarafından koordineli biçimde bildirildi. Olay, MCP kayıt ve ağ geçidi araçlarının artık sıradan bir yardımcı yazılım değil, hassas altyapı olarak korunması gerektiğini bir kez daha gösteriyor.
Kaynak: AWS güvenlik bülteni 2026-180-AWS, GBHackers
