Google製MCP Toolboxに重大脆弱性CVE-2026-93328——未認証で情報流出

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-93328とは——MCP Toolbox for Databasesで何が起きるか

2026年10月26日、Google CloudはMCP Toolbox for Databases（GitHubリポジトリ名: googleapis/mcp-toolbox）に関するCVE-2026-93328を公開した（出典: CVE.org — CVE-2026-93328）。

脆弱性の核心は二点だ。cloud-storageソースの実装において、パストラバーサル（CWE-22）と権限チェック欠如（CWE-862）が同時に存在する。この組み合わせにより、認証を持たない遠隔の攻撃者が、特定のツール呼び出しパラメータを送り込むだけで次の操作を実行できる状態となる。

ホストマシン上の任意ファイルを外部のGoogle Cloud Storageバケットへ流出させる
任意のローカルファイルを上書きする

CNAであるGoogle CloudによるCVSS 4.0スコアは9.3（CRITICAL）と評価されており（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L）、攻撃の複雑さが低く、認証不要、ユーザー操作不要という条件が揃っている。

影響を受けるバージョンはv1.2.0以上v1.5.0未満（すなわちv1.2.0、v1.3.x、v1.4.x）。なお、CISA KEV（Known Exploited Vulnerabilities）への掲載はなく、2026年10月29日時点のEPSS（悪用される確率の統計的推定値であり確定ではない）は約0.526%（パーセンタイル約44.5）と報告されている。

図: CVE-2026-93328の攻撃経路。認証を持たない攻撃者が細工したパラメータをMCP Toolboxに送り、cloud-storageソースの権限チェック欠如とパストラバーサルを利用してホストファイルをGCSバケットへ流出させるか、ローカルに上書きする。

AIハッキングで日本や世界にどんな被害が出ているかは、日本・世界の主な被害一覧で解説しています。

関連記事生成AIの情報漏洩とは？原因と2つの経路は？

MCP Toolbox for Databasesの役割——AIシステムにとって重大な理由

MCP Toolbox for Databasesは、LLMベースのAIエージェントがデータベースに安全かつ効率的にアクセスするためのオープンソースのサーバーとして、Google Cloudが開発・公開しているソフトウェアだ。MCP（Model Context Protocol）は、AIモデルが外部ツールやデータソースを呼び出す際の標準的なインターフェース仕様であり、このToolboxはそのデータベース向け実装として位置づけられる。

つまり、AIエージェントがデータベースへのクエリ、ファイルの読み書き、外部ストレージとのやり取りを行う際の「橋渡し役」がこのToolboxだ。cloud-storageソースはその名の通り、Google Cloud Storageとのファイルやり取りを担うコンポーネントであり、今回の脆弱性の発生箇所となった。

次に読む：AIセキュリティ対策とは？今すぐできる対策は？

AIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策【2026年】

影響バージョン・対応状況——今すぐ確認すべき事項

CVE-2026-93328が定める影響バージョンと対応状況を以下の表に整理する。

項目	内容
CVE番号	CVE-2026-93328
対象製品	Google Cloud / MCP Toolbox for Databases（googleapis/mcp-toolbox）
影響バージョン	v1.2.0 以上 v1.5.0 未満
修正バージョン	v1.5.0以降（CVE公式記録の影響範囲が1.5.0未満）
CVSS 4.0スコア	9.3（CRITICAL）— 評価者: Google Cloud（CNA）
弱点の種類	CWE-862（権限チェック欠如）、CWE-22（パストラバーサル）
攻撃条件	ネットワーク経由・認証不要・ユーザー操作不要・低い複雑度
CISA KEV掲載	なし（2026年10月29日時点）
EPSS（統計的推定）	約0.526%（パーセンタイル約44.5、2026年10月29日時点）
公式の回避策	CVE記録には記載なし
実際の悪用報告	なし（2026年10月29日時点）

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

日本企業がとるべき実務的な対応——優先順位と判断軸

CVSS 4.0で9.3（CRITICAL）という評価は、認証不要・遠隔からの任意ファイル流出・任意ファイル上書きが可能な構成であることを示す。以下の順序で対応を進めることを勧める。

ステップ1：バージョン棚卸し
自社・自チームのシステムでgoogleapis/mcp-toolboxを使用しているかどうかを確認する。使用している場合はインストール済みバージョンを特定し、v1.2.0以上v1.5.0未満に該当するかどうかを判断する。コンテナイメージや自動デプロイパイプラインを経由して導入している場合は、インフラ担当・DevOpsチームと連携してイメージ・マニフェスト上のバージョンを確認する。

ステップ2：公開範囲の評価
該当のMCP Toolboxエンドポイントがインターネットに公開されているか、あるいは内部ネットワークに限定されているかで緊急度が変わる。インターネットに公開されている場合、CVSSの攻撃条件（AV:N、AC:L、PR:N）がそのまま成立するため、即時対応が必要になる。

ステップ3：修正版への更新と、アクセス範囲の設定
該当バージョン（v1.2.0〜v1.4.0）を使用している場合は、v1.5.0以降へ更新する（2026年10月23日時点の最新版はv1.15.0）。修正はGitHubのプルリクエスト#3454（2026年6月18日に取り込み）で、cloud-storageソースに、読み書きを許すバケットとローカルの場所を指定する設定（allowedBuckets・allowedLocalRoot）を追加したものだ。ただし、この設定は既定では「すべて許可」のままとされている。更新したうえで、この2つの設定で使うバケットと場所を絞る。

ステップ4：ログ・アクセス記録の確認
悪用報告はないものの、CISA KEV未掲載は「攻撃が起きていない」ことを保証するものではない。cloud-storageソース経由の不審なファイルアクセスや、想定外のGCSバケットへのデータ転送がないかを、過去のアクセスログ・監査ログで確認することを推奨する。

注意点：更新できない場合の公式の回避策は未公表
CVE記録には、更新できない場合の回避策の記載はない。非公式な対処法を回避策として断定せず、更新を優先する。

なお、AIエージェント基盤を構成する際のセキュリティ設計については、ツールとデータソースのアクセス制御の設計思想を理解することが重要になる。

このCVEが示す構造的リスク——AI基盤のセキュリティ設計への示唆

CVE-2026-93328が示す問題は、MCP Toolbox単体の実装バグにとどまらない。AIエージェントがデータベースやファイルシステムを操作するツールを持つとき、そのツール呼び出しの入力に対して権限検証が不十分であれば、エージェント自身が攻撃のベクターになり得る。

MCPのようなAIエージェントのツール呼び出しプロトコルは、リクエストの内容がLLMの出力に依存する点で従来のAPIとは異なる。このような権限チェック欠如の脆弱性は、AIエージェントのツール呼び出し層における入力検証の重要性を示す一例と考えられる。

日本でもAIエージェントを業務システムに組み込む動きが広がりつつある。この種の脆弱性は、AIシステムのセキュリティレビューにおいて、ツール呼び出し層の入力検証と権限制御を明示的に評価する必要性を示している。調達・導入評価においてもOSS依存コンポーネントのCVE追跡を組み込むことが、運用上のリスク管理として合理的な選択になるだろう。