MCP-Sicherheit 2026: Kritische Lücken, bösartige Server und die neue Angriffsfläche für KI-Agenten

Das Model Context Protocol (MCP) hat sich 2026 als Standard-Stecker für KI-Agenten etabliert: Einmal angebunden, können Large Language Models über MCP auf interne APIs, Datenbanken und Workflows zugreifen. Doch während die Adoption im Produktionsbetrieb rasant steigt, offenbart der Herbst 2026 eine erste ernsthafte Sicherheitskrise. Von der CISA-KEV-Liste über kritische Privilege-Escalations bis zu bösartigen Servern, die alle gängigen Scanner passieren – die Schlagzeilen überschlagen sich.

LiteLLM und die CISA-KEV-Liste: Erste MCP-Lücke auf der Regierungs-Blacklist

Im September 2026 setzte die US-Behörde CISA einen Meilenstein: Erstmals landete eine MCP-spezifische Schwachstelle auf der Known Exploited Vulnerabilities (KEV)-Liste. CVE-2026-59822 betrifft LiteLLM, einen weit verbreiteten Open-Source-Proxy, der als Gateway zwischen Anwendungen und LLM-Providern dient. Der MCP-Streamable-HTTP-Endpunkt akzeptierte jedes beliebige Bearer-Token als gültige Authentifizierung – ein Improper-Authentication-Fehler (CVSS 8.8), der es Angreifern erlaubte, vollwertige MCP-Sessions ohne gültige Zugangsdaten aufzubauen (Tech Insider).

Die Folgen sind gravierend: Ein gekaperter MCP-Zugriff gewährt nicht nur Zugriff auf einen Dienst, sondern auf sämtliche Tools, Datenbanken und Workflows, die der LiteLLM-Proxy im Namen von KI-Agenten ansteuert. CISA setzte eine Frist von drei bis sieben Tagen für Bundesbehörden – ein Indikator für die Dringlichkeit. Es war nicht der erste LiteLLM-Vorfall: Bereits im Juni 2026 war CVE-2026-42271 in der KEV-Liste aufgetaucht, eine Command-Execution über MCP-stdio-Test-Endpunkte (WZ-IT).

Schwachstellen im Protokoll-Ökosystem: Von Session-Spoofing bis Privilege-Escalation

Doch LiteLLM ist nur die Spitze des Eisbergs. Im Oktober 2026 verzeichnete die Sicherheitsforscherin Adversa AI 15 neue MCP-Sicherheitsressourcen in einem Monat. Drei Beispiele zeigen die Bandbreite:

Session-Spoofing im Grafana-MCP-Server: Der Grafana-MCP-Server validierte Session-IDs nur nach Format, nicht nach Aussteller. Unautorisierte Anrufer konnten eine beliebige Session-ID vorlegen und mit den Service-Account-Credentials des Servers auf Grafana-Instanzen zugreifen (CVE-2026-19516). Zusätzlich erlaubte ein manipulierbarer X-Grafana-URL-Header vollständigen SSRF-Zugriff (Adversa AI).

Privilege-Escalation in LiteLLM (CVSS 9.9): Bereits Ende September 2026 veröffentlichte BerriAI ein Advisory zu GHSA-7hp6-4w63-5g45. Der gleiche LITELLM_SALT_KEY wurde sowohl zum Verschlüsseln von Geheimnissen als auch zum Erstellen von Session-Tokens verwendet. Ein authentifizierter Nutzer mit der Rolle internal_user konnte einen manipulierten Admin-Schlüssel einschleusen, den der Proxy ahnungslos signierte – und damit die volle proxy_admin-Kontrolle erlangen, inklusive Command-Execution auf dem Host über den MCP-stdio-Endpunkt. GitHub bewertete die Lücke mit CVSS 9.9 (kritisch). Ein Follow-Up-Advisory (GHSA-g5ff-637f-6q2m, CVSS 8.1) zeigte, dass selbst die internal_user_viewer-Rolle beliebige Dateien des Proxy-Prozesses lesen konnte (WZ-IT).

OAuth-Fallback ohne Issuer-Validierung: Ein Angreifer konnte einen MCP-Server so konfigurieren, dass er auf Client-Anfragen einen 404-Status zurückgab. Dadurch fiel der MCP Python SDK (Versionen vor 1.30.0/2.2.0) in einen Legacy-OAuth-Pfad, der die Issuer-Validierung komplett übersprang. Client-Secrets, Authorization-Codes und PKCE-Verifier landeten auf dem Server des Angreifers (Adversa AI).

Blinde Flecken der Sicherheitsscanner: Zwei bösartige MCP-Server, fünf saubere Scans

Ein alarmierendes Forschungsergebnis von Pluto Security (September 2026) zeigt, wie unzureichend die aktuelle MCP-Scanning-Landschaft ist. Die Forscher bauten zwei funktionsfähige bösartige MCP-Server: einen Credential-Thief, der SSH-, AWS- und Kubernetes-Credentials auslas und an einen Sammel-Server sandte, sowie einen Remote-Code-Execution-Server, der Befehle von einem zweiten Server abrief und ausführte. Beide tarnten sich als harmlose Wetter-Tools.

Getestet wurden fünf öffentliche Scanner: Cisco mcp-scanner, Snyk agent-scan, Ventrova sentinel-scan-cli, mcp-shield und NVIDIA SkillSpector. Das Ergebnis: Alle fünf Scanner lieferten saubere Ergebnisse („SAFE", „0 findings", „Verified") für mindestens einen der bösartigen Server. Der Grund: Die Scanner prüften hauptsächlich Tool-Metadaten (Namen, Beschreibungen, Schemata), nicht aber den tatsächlichen Handler-Code. Nur SkillSpectors LLM-Quellcode-Review erkannte beide Server – allerdings nur bei normaler Dateigröße. Sobald der bösartige Code hinter 16 MiB harmlosem Text versteckt wurde, übersprang das LLM-Review die Datei, und der Scan meldete „CAUTION / 0" mit unvollständiger Abdeckung (Pluto Security).

Fazit

Der Herbst 2026 markiert einen Wendepunkt für die MCP-Sicherheit. Das Protokoll hat das Experimentierstadium hinter sich gelassen – und damit auch seine naiven Sicherheitsannahmen. Die Erkenntnisse sind ernüchternd: Authentifizierung ist oft umgehbar, Privilegien sind unzureichend getrennt, und die existierenden Scantools erkennen bösartige MCP-Server nicht zuverlässig. Die MCP-Community reagiert: Die CoSAI veröffentlichte Version 2.0 ihres MCP-Sicherheitsmodells, und Initiativen wie die „Five Gates" vor der MCP-Tool-Produktion – Identität, Scope, Limits, Approval und Evidence – bieten praxisnahe Orientierung. Wer MCP-Server in Produktion betreibt, sollte Patches umgehend einspielen, MCP-Endpunkte nicht ungeschützt ins Netz hängen und Scans als das behandeln, was sie sind: eine Momentaufnahme, kein Freibrief.

Quellen

• Adversa AI: Top MCP Security Resources October 2026 — Monatsübersicht über MCP-Sicherheitsvorfälle und Forschung
• Tech Insider: CISA Flags First MCP Flaw: LiteLLM Hits CVSS 8.8 — Analyse des ersten MCP-spezifischen CISA-KEV-Eintrags
• WZ-IT: LiteLLM Vulnerability GHSA-7hp6-4w63-5g45 — Detaillierte Analyse der Privilege-Escalation und des Patch-Managements
• Pluto Security: Malicious Servers, Clean Scans — Forschung zu MCP-Scanner-Lücken und bösartigen Servern
• Jannik Reinhard: Five Gates Before an MCP Tool Reaches Production — Produktions-Checkliste für MCP-Tools