Yapay zekâ asistanlarının yazılım araçlarına bağlanmasını sağlayan MCP (Model Context Protocol) sunucuları, geliştiricilerin bilgisayarlarında hızla yaygınlaşıyor. Ancak bu hafta duyurulan iki güvenlik açığı, “yalnızca yerelde çalışıyor” diye düşünülen bu sunucuların aslında tüm ağa açık olabileceğini gösterdi. Siemens’in düşük kodlu geliştirme ortamı Mendix Studio Pro ile açık kaynak ajan aracı fast-agent’ta bulunan açıklar, aynı varsayılan ayar hatasının iki farklı sonucunu ortaya koyuyor.
Mendix Studio Pro: MCP sunucusu ağdaki herkese açık
Siemens’in 10 Kasım’da yayımladığı SSA-710379 numaralı güvenlik bildirimi, Mendix Studio Pro içindeki MCP sunucusunda iki açığı kapsıyor:
- CVE-2026-112136 (CVSS 4.0: 9,2; CVSS 3.1: 8,8): MCP sunucusunun HTTP dinleyicisi yalnızca yerel bilgisayarla sınırlı değil. Ağ erişimi olan bir saldırgan doğrudan sunucuyla konuşabiliyor.
- CVE-2026-112137 (CVSS 4.0: 5,1): Sunucu, gelen isteklerin içerik türünü ve kaynağını kontrol etmiyor. Bu nedenle kötü niyetli bir web sayfası, tarayıcınızı kullanarak yerel MCP sunucusuna istek gönderebiliyor. Bu saldırı türü siteler arası istek sahteciliği olarak biliniyor.
Etkilenen sürümler, Studio Pro 11’in 11.15.0 ile 11.16.0 arasındaki ve 11.12 serisinin 11.12.6 ile 11.12.7 arasındaki sürümleri. Çözüm, 11.16.0 ya da 11.12.7 sürümüne güncellemek. Siemens güncellemeye kadar 7782 numaralı porta gelen trafiğin engellenmesini öneriyor; standart Windows güvenlik duvarı bunu zaten yapıyor. Ayrıca özel ağ erişim korumasına sahip bir tarayıcı ya da web sitelerinin yerel adreslere istek göndermesini engelleyen bir eklenti kullanılması tavsiye ediliyor.
fast-agent: Aynı hata, üstüne kabuk erişimi
fast-agent için 9 Kasım’da yayımlanan bildirim (CVE-2026-102610), bu tür bir hatanın ne kadar ileri gidebileceğini gösteriyor. Aracın “serve” modu, ajanı MCP üzerinden 0.0.0.0:8000 adresinde, yani tüm ağ arayüzlerinde, hiçbir kimlik doğrulama olmadan ve herhangi bir uyarı vermeden yayımlıyordu.
Aracın README dosyasındaki hızlı başlangıç örneğinde de yer alan --shell seçeneğiyle çalıştırıldığında ajana yerel komut çalıştırma aracı ekleniyor. Açığı bildiren araştırmacı, kimliği doğrulanmamış bir istemcinin ajandan sistem komutları çalıştırmasını isteyip çıktıları geri alabildiğini gösterdi. Kabuk seçeneği kapalıyken bile ağdaki bir yabancı, sizin model kredilerinizi harcayabiliyor ve yapılandırdığınız araçları kullanabiliyordu.
fast-agent-mcp paketinin 0.7.20 ve öncesi sürümleri etkileniyor. Düzeltme 0.7.21 sürümünde yer alıyor. GitHub, açığın yalnızca serve modunda ortaya çıkması nedeniyle onu orta seviye (6,4) olarak derecelendirdi; ancak sonuç, kimlik doğrulaması olmadan uzaktan kod çalıştırma.
Yerel MCP sunucusu, araçlarınızın uzaktan kumandası
Her iki örnek de aynı dersi veriyor: Bir MCP sunucusu, yapay zekâ ajanının erişebildiği tüm araçlar için bir uzaktan kumanda gibi çalışıyor. Bu yüzden sunucunun hangi adreste dinlediği ve kimlik doğrulama yapıp yapmadığı, güvenliğin neredeyse tamamını belirliyor. Kafe, ofis ya da konferans ağı gibi paylaşılan ağlarda tüm arayüzlere açık bir MCP sunucusu, aynı ağdaki herkese bilgisayarınızda işlem yapma imkânı tanıyabilir.
Bilgisayarınızı nasıl kontrol edersiniz?
- Linux ve macOS’ta ss -ltnp ya da lsof -i -P, Windows’ta netstat -ano komutuyla dinlemedeki portlara bakın; 0.0.0.0 adresinde dinleyen ajan ya da MCP süreçlerini tespit edin.
- Kullandığınız MCP sunucularını mümkünse yalnızca 127.0.0.1 adresine bağlayın.
- Mendix Studio Pro ve fast-agent kullanıyorsanız hemen güncelleyin.
- Ajanlara kabuk erişimi veren seçenekleri yalnızca gerçekten gerektiğinde ve yalıtılmış ortamlarda kullanın.
Kaynak: Siemens güvenlik bildirimi SSA-710379, fast-agent GitHub güvenlik bildirimi, AI Tamer
