Heym CVE-2026-67546——MCPエンドポイントの任意コード実行、0.0.75で修正

CVE-2026-67546とは——HeymのMCPエンドポイントで任意コード実行が可能に

2026年11月11日、セルフホスト型エージェント自動化基盤「Heym」の脆弱性がCVEデータベース（cve.org）に登録された。CVE番号はCVE-2026-67546。CVSS 3.1スコアは8.8（HIGH）であり、ネットワーク経由で認証済みユーザーが低い権限のまま攻撃を実行できる点で深刻度が高い。

Heymはセルフホスト基盤上でエージェント型システムおよび業務プロセス自動化を構築・実行するソフトウェアである。近年、AIエージェントとツール連携を仲介するMCP（Model Context Protocol）を採用するプラットフォームが増加しているが、本脆弱性はそのMCP関連エンドポイントに起因する。影響を受けるのはバージョン0.0.75より前のすべてのバージョン。この問題はバージョン0.0.75で修正された。

CISAの既知悪用脆弱性カタログ（KEV）への掲載は確認されていない（2026年11月11日時点、cve.orgの記録による）。したがって「現在悪用されている」と断定できる根拠はなく、以下では技術的リスクの性質と構造的な意味合いの解説に絞る。

この種の攻撃で現時点までに実害が出ているかは、AIハッキングによる日本・世界の主な被害一覧で解説しています。

関連記事生成AIで情報が漏れる原因・経路は？

脆弱性の仕組み——なぜ「認証済み・低権限」でも任意コード実行が成立するか

本脆弱性の核心は、POST /api/mcp/fetch-toolsエンドポイントの設計上の問題にある。このエンドポイントはstdioトランスポートを受け付け、攻撃者が指定したコマンドを攻撃者指定の引数で起動する。さらに起動時の環境変数がos.environに上書きマージされる。

問題の本質は実行順序にある。指定されたプロセスは、MCPプロトコルの検証が失敗する前に共有バックエンドホスト上で実行される。つまりコマンドがMCPプロトコルに準拠しているかどうかに関わらず、副作用——すなわち任意コードの実行——がすでに発生する構造になっている。弱点の種類はCWE-94（Improper Control of Generation of Code：コード生成の不適切な制御）に分類される。

CVE公式記録は、修正に必要なのはegress制御ではなく、ロールによるアクセス制限またはオプトイン方式の信頼境界の実装だと明示している。これは「通信を外部でブロックするだけでは根本解決にならない」ことを意味し、エンドポイントの権限設計そのものを改める必要があることを示唆する。

CVSSスコアの読み方と影響範囲

本脆弱性のCVSSベクターはCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H（評価者：GitHub_M）である。各要素を読むと次のことが分かる。

表：CVE-2026-67546のCVSSベクター要素と意味

要素	値	意味
攻撃経路（AV）	Network	ネットワーク経由で遠隔から攻撃が可能
攻撃の複雑さ（AC）	Low	特殊な条件を必要としない
必要な権限（PR）	Low	最低権限ロードを含む認証済みユーザーで成立
ユーザー操作（UI）	None	被害者の操作を必要としない
スコープ（S）	Unchanged	影響は脆弱なコンポーネントの範囲内
機密性（C）	High	機密情報が完全に漏えいしうる
完全性（I）	High	データの改ざんが完全に行われうる
可用性（A）	High	システムを完全に停止させうる

「スコープ：Unchanged」である点は、影響がHeymのバックエンドホスト内にとどまることを示す。ただし、機密性・完全性・可用性への影響がいずれも「High」であることから、そのホスト内における被害の潜在的な深刻度は高い。

今取るべき対応——3点に絞って判断する

本脆弱性への対応は、以下の3点に集約される。いずれもHeymを自社環境にセルフホストして運用している組織が対象となる。

1. バージョン0.0.75未満を運用している場合は、バージョン0.0.75へ更新する。CVE公式記録（cve.org）はバージョン0.0.75での修正を明記している。
2. 公式の回避策は現時点で確認されていない。修正版が無い場合の対応はベンダーの告知に従う。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

AIエージェント基盤のセキュリティ設計——この脆弱性が示す構造的な課題

CVE-2026-67546が浮き彫りにするのは、AIエージェント基盤に固有のセキュリティ設計上の難しさである。MCPのようなプロトコルはエージェントが外部ツールを動的に呼び出す仕組みを提供する。その柔軟性は業務自動化の価値の源泉だが、「外部から指定されたコマンドをホスト上で実行する」という動作は、従来型Webアプリケーションにはなかった攻撃面を生む。

CVE説明が「修正にはegress制御ではなく、ロールによるアクセス制限やオプトイン方式の信頼境界が必要」と述べている点は示唆に富む。ファイアウォールや通信遮断といった境界防御では根本解決にならず、エンドポイント自体の設計——誰が何を呼び出せるかの信頼境界——を見直す必要があるということだ。

なお、この問題は同エンドポイント上の別の脆弱性（SSRF）とは異なる脆弱性クラスおよび悪用手法であるとされている（CVE公式記録より）。

---

参考文献

• CVE公式記録 CVE-2026-67546（cve.org / 採番元CNA: GitHub_M、公開日: 2026-11-11）
  https://www.cve.org/CVERecord?id=CVE-2026-67546
• NVD（米国国立脆弱性データベース）CVE-2026-67546詳細
  https://nvd.nist.gov/vuln/detail/CVE-2026-67546