El aviso CVE-2026-111770 (CVSS 7.7, publicado el 20 de octubre de 2026) afecta a @modelcontextprotocol/server, versiones 2.0.0 a 2.2.x: un servidor MCP por HTTP que comparte un transporte entre clientes puede entregar las respuestas y notificaciones de un cliente a otro. La causa es una colisión de identificadores.
Cómo funciona la falla
El protocolo MCP usa mensajes JSON-RPC, donde cada petición lleva un id para emparejar la respuesta. Según el aviso, cuando un servidor expuesto por HTTP reutiliza un único transporte sin estado, o una misma instancia de McpServer o Server, para varios clientes, los mensajes se asociaban a una conexión «únicamente por el id JSON-RPC». Como los clientes del SDK numeran sus peticiones desde 0, los IDs colisionan de forma normal: el cliente A y el cliente B ambos envían el id 0, y la respuesta puede terminar en el equivocado.
Por qué es distinto de un bug cualquiera
Un servidor MCP suele devolver datos de herramientas: consultas a bases, archivos, tickets. Si las respuestas se cruzan entre clientes, un usuario o agente puede recibir datos de otra sesión, sin necesidad de que el atacante «rompa» nada: basta con compartir la misma instancia. La puntuación (confidencialidad alta, integridad baja, disponibilidad alta, complejidad de ataque alta) refleja que depende de la condición de carrera y del patrón de despliegue.
Cómo mitigarlo
- Actualizar a
@modelcontextprotocol/server2.3.0 o superior; el aviso no lista otro paliativo. - Crear una instancia de servidor y transporte por sesión de cliente, en lugar de reutilizar una global.
- Revisar servidores MCP propios que se expongan por HTTP, sobre todo en modo sin estado.
- Registrar IDs de sesión y comparar respuestas en pruebas con dos clientes concurrentes.
Fuentes: GitLab Advisory Database y Vulert (CVE-2026-111770, 20 de octubre de 2026).