MCP Toolbox for Databasesの脆弱性CVE-2026-93328｜対象のバージョンと上げ方、更新後に入れる設定

Google CloudのMCP Toolbox for Databasesで、Cloud Storageの接続先（cloud-storage）に脆弱性CVE-2026-93328が見つかりました。対象は1.2.0から1.4.0までで、1.5.0で直っています。

cloud-storageを使っている人は、1.5.0以降（10月27日時点の最新は1.15.0）に上げたうえで、allowedBuckets と allowedLocalRoots を設定します。この2つは書かないと、すべてのバケットとパスが許可されたままです。

toolbox --version

npxやコンテナで動かしているときは、「自分のバージョンを確かめる」のコマンドを使います。

表示されたバージョンが1.2.0から1.4.0なら、この脆弱性の対象です。

• 2026年10月27日7時57分（日本時間）時点の、CVEの記録・NVD・GitHubのリリースノートと公式ドキュメントの内容です。
• 深刻度はCVSS 4.0で9.3（Critical）です。CVEを登録したGoogle Cloudが付けた値です。
• 認証なしで外から、Toolboxを動かしているマシンのファイルを外部のCloud Storageのバケットへ持ち出されたり、ローカルのファイルを上書きされたりするおそれがあります。

結論：当てはまるかと、やること

cloud-storageの接続先は1.2.0で加わったもので、1.1.0以前にはありません。CVEの記録でも、対象は1.2.0から1.4.0までです。

CVE-2026-93328とは

MCP Toolbox for Databasesは、AIエージェントやIDE、アプリをデータベースにつなぐ、オープンソースのMCPサーバーです。MCPのしくみは、Agent Skillsとは？SKILL.mdのしくみとMCPとの違いで取り上げています。

CVE-2026-93328は、Cloud Storageの接続先（type: cloud-storage）で、ファイルのパスと権限を十分に確かめていなかった問題です。Toolboxのサーバーのファイルを読み書きするツールは、cloud-storage-upload-object と cloud-storage-download-object です。

公開の流れ（日本時間）は次のとおりです。

自分のバージョンを確かめる

バイナリで動かしているとき

toolbox --version

Windowsでは次のとおりです。

.\toolbox.exe --version

次のように表示され、「version」のあとの数字がバージョンです。

toolbox version 1.15.0+binary.linux.amd64.8e8e569

npxで動かしているとき

npx @toolbox-sdk/server --version

コンテナで動かしているとき

docker ps --format "{{.Image}}"

イメージ名の「:」のあとがバージョンです。

cloud-storageを使っているか

設定ファイル（tools.yaml）に type: cloud-storage の接続先があるか、起動のコマンドに --prebuilt cloud-storage が入っているかを見ます。

grep -n "cloud-storage" tools.yaml

1.5.0以降に上げる

1.5.0では、Googleの認証で mcpEnabled を使うときに audience か clientId が必須になりました。1.5.0からは、MCPの認証と enable-api を一緒に有効にするとエラーになります。この2つに当てはまるときは、上げる前に設定を見直します。

バイナリ（Linux・AMD64の例）

export VERSION=1.15.0
curl -L -o toolbox https://storage.googleapis.com/mcp-toolbox-for-databases/v$VERSION/linux/amd64/toolbox
chmod +x toolbox
sha256sum toolbox

表示されたハッシュが、GitHubのリリースのページのSHA256の値と同じかを確かめます。macOSとWindowsのダウンロード先も、同じページにあります。

Homebrew

brew upgrade mcp-toolbox

コンテナ

docker pull us-central1-docker.pkg.dev/database-toolbox/toolbox/toolbox:1.15.0

今のコンテナを止め、新しいタグのイメージで起動し直します。

npx

npx @toolbox-sdk/server@1.15.0 --config tools.yaml

Goで入れているとき

go install github.com/googleapis/mcp-toolbox@v1.15.0

上げたあとに、もう一度「自分のバージョンを確かめる」のコマンドで、1.5.0以降になったかを確かめます。

上げたあとに入れる設定

1.5.0で、cloud-storageの接続先に2つの設定が加わりました。それぞれ、書かないとすべてが許可されます。

公式ドキュメントの例は次のとおりです。

kind: source
name: my-gcs-source
type: "cloud-storage"
project: "my-project-id"
allowedBuckets:
  - "my-app-bucket"
  - "my-backup-bucket"
allowedLocalRoots:
  - "/workspace"

• 1.10.0以降は、Toolboxがシンボリックリンクをたどった先も、許可したディレクトリの中にあるかを確かめます。ハードリンクは区別できません。
• --prebuilt cloud-storage の公式の設定には、allowedBuckets・allowedLocalRoots が書かれていません。2つを設定するときは、tools.yamlに接続先を書きます。
• Google CloudはCVEの記録で、あわせてToolboxを権限の少ないOSのユーザーで動かし、IAMの権限をしぼるよう勧めています。

1.5.0に入ったほかのセキュリティ修正

1.5.0のリリースノートには、cloud-storageのほかにも次の修正があります。cloud-storageを使っていなくても、1.4.0以前なら上げる理由になります。

• HTTPの接続先とCloud Healthcareの接続先で、SSRF（サーバーに意図しない宛先へ通信させる攻撃）を防ぐチェックを追加
• bigquery-execute-sql で、データセットの制限をすり抜けられる問題を修正
• mysql-get-query-plan で、クエリの実行や別の文の差し込みができる問題を修正
• SQLインジェクションを防ぐため、区切り文字のエスケープを修正
• MCPのHTTPで受け取るデータの大きさに上限を設定

参考にした公式の情報

• CVE-2026-93328（CVE.org）
• CVE-2026-93328（NVD）
• GHSA-2gc9-c85v-5vwr（GitHub Advisory Database）
• 修正のプルリクエスト #3454
• MCP Toolbox for Databases 1.5.0のリリースノート
• MCP Toolbox for Databases 1.10.0のリリースノート
• MCP Toolbox for Databases 1.15.0のリリースノート
• Cloud Storage Source（公式ドキュメント）
• MCP Toolbox for DatabasesのREADME（入れ方）