Yapay zekâ asistanlarının dış araçlara ve verilere bağlanmasını sağlayan Model Context Protocol (MCP) projesi, resmî referans sunucularındaki altı güvenlik açığını kapattı. 11 Kasım 2026’da yayımlanan servers v2.4.0 sürümü; dosya sistemi (filesystem), Git ve fetch sunucularındaki sorunları gideriyor. Bunlar arasında en ciddisi, yüksek önem derecesi taşıyan ve mcp-server-git sunucusunu etkileyen komut çalıştırma açığı.
Bu sunucular, pek çok yapay zekâ kodlama ajanının ve MCP istemcisinin üzerine inşa edildiği başlangıç noktası niteliğinde. Bu yüzden açıklar, yalnızca bu paketleri doğrudan kullananları değil, onları örnek alan ya da kodunu kopyalayan projeleri de ilgilendiriyor.
En ciddi açık: Yalnızca okuma yapan araçla kod çalıştırma
GHSA-6hqx-gqrx-c5r2 koduyla izlenen açık, CVSS 4.0’a göre 7,0 puanla “yüksek” önemde. Sorunun kaynağı, sunucunun istemcinin seçtiği depolarda Git komutlarını çalıştırırken deponun kendi yapılandırmasını etkisiz hâle getirmemesi. Git, .git/config dosyasındaki bazı ayarlarda adı verilen programları otomatik olarak çalıştırıyor. Örneğin core.fsmonitor ayarında yazan program, Git dizini her yenilediğinde devreye giriyor.
Güvenlik bildirimine göre bu durum, güvenilmeyen bir depoda yalnızca okuma yapan git_status aracının çağrılmasının bile saldırganın seçtiği bir programı çalıştırmasına yetiyordu. Program, MCP sunucusunun yetkileriyle çalışıyor; yani sunucunun ortam değişkenlerine (istemcinin buraya aktardığı kimlik bilgileri dahil), dosya sistemi erişimine ve kullanıcı hesabına sahip oluyordu. Üstelik bu işlem herhangi bir onay istemi olmadan ve modelin kendi araç çağrılarını sınırlayan korumalı alanın dışında gerçekleşiyordu.
Aynı sonuca diff.external ayarıyla, git_diff_unstaged ve git_diff_staged araçları üzerinden de ulaşılabiliyordu. Bildirime göre komutun ayrı bir dosya olarak gelmesine de gerek yoktu: Tek satırlık bir yapılandırma değişikliği yeterliydi. Bildirimde ayrıca hook’lar, imza programları ve filtre sürücüleri gibi program çalıştırabilen başka ayarlar da listeleniyor.
Saldırı nasıl ulaşabilir?
Zararlı yapılandırma .git/config içinde durduğu için deponun kullanıcıya .git klasörüyle birlikte ulaşması gerekiyor. Bildirim, sıradan bir git clone işleminin sunucu tarafındaki yapılandırmayı kopyalamadığını, GitHub’ın kaynak ZIP dosyalarının da .git klasörünü içermediğini belirtiyor. Ancak proje arşivleri, CI çıktıları, yedekler, paylaşılan ağ klasörleri, projeye eklenmiş bağımlılık klasörleri ya da kopyalanarak oluşturulmuş ajan çalışma alanları bu klasörü taşıyabiliyor. Kullanıcının depoda hiçbir şey çalıştırmasına gerek yok; sunucunun tek bir git_status çağrısı yeterli.
Bildirim, bu açık sınıfının daha önce başka ajan araçlarında da görüldüğünü ve bu araçların üreticilerinin önlem aldığını, ancak referans Git sunucusunun bu önlemi henüz uygulamadığını kaydediyor.
Düzeltme neleri kapsıyor?
Sorun, mcp-server-git 2026.11.11 sürümüyle giderildi. Sunucu artık çalıştırdığı her Git komutunda, program çalıştırabilecek ayarları tüm yapılandırma dosyalarından daha öncelikli bir yöntemle geçersiz kılıyor: core.fsmonitor kapatılıyor, hook’lar devre dışı bırakılıyor, imzalama ve imza doğrulama kapatılıyor, sayfalayıcı olarak zararsız bir komut kullanılıyor. Deponun kendi yapılandırmasında tanımlanan filtre ve birleştirme sürücüleri boşaltılıyor; kullanıcının genel ayarlarındaki Git LFS gibi sürücüler ise çalışmaya devam ediyor. Bu korumayı desteklemeyen 2.31’den eski Git sürümleri ise artık hiç çalıştırılmıyor.
Diğer beş açık
- mcp-server-git (orta): Daha önceki bir düzeltmenin eksik kalması nedeniyle, depo sınırlamasının bazı Git yapıları üzerinden aşılabilmesi.
- server-filesystem (orta, iki açık): read_text_file ve move_file işlemlerinde, doğrulama ile kullanım arasındaki kısa sürede sembolik bağlantıların değiştirilmesiyle izin verilen klasörlerin dışındaki dosyalara erişilebilmesi.
- mcp-server-fetch (düşük): Kullanımdan kaldırılmış bazı IPv6 adres aralıklarının yanlışlıkla “herkese açık” sayılması nedeniyle iç ağa istek gönderme (SSRF) korumasında boşluk.
- mcp-server-fetch (düşük): Normalleştirilmemiş yollar kullanılarak robots.txt kurallarının atlatılabilmesi.
Yamalı sürümler şunlar: @modelcontextprotocol/server-filesystem 2.3.0, mcp-server-git 2026.11.11 ve mcp-server-fetch 2026.11.11. Yayın itibarıyla altı açığın hiçbirine CVE numarası verilmedi; hepsi GitHub güvenlik bildirimi (GHSA) olarak izleniyor.
Geliştiriciler ne yapmalı?
- Kullandığınız MCP istemcisinde bu üç sunucudan biri tanımlıysa paketleri yukarıdaki sürümlere hemen güncelleyin.
- Güncelleyene kadar mcp-server-git’i yalnızca
.gitklasörüne güvendiğiniz depolarda kullanın. - MCP sunucularına aktardığınız ortam değişkenlerini en aza indirin; gereksiz API anahtarlarını bu bloktan çıkarın.
- “Yalnızca okuma yapıyor” diye otomatik onaylanan araçların da arka planda program çalıştırabileceğini unutmayın.
Bu açıklar, yapay zekâ ajanlarının güvenliğinin yalnızca modelin ne söylediğiyle değil, kullandığı araçların arka planda ne çalıştırdığıyla da ilgili olduğunu açıkça gösteriyor.
Kaynak: Model Context Protocol GitHub güvenlik bildirimleri, vibecoding.inc
