Terraform MCP ServerにCVSS 10.0の認証情報クロステナント漏洩——HashiCorpが緊急パッチv1.1.0を公開

「Terraform MCPサーバーって共有して使うことが多いのに、他のユーザーのトークンが漏れるって本当でしゅか？」
「MCPって最近よく聞くけど、こんなに重大な脆弱性があったんでしゅね……」

ボス

ふふふ、AIエージェント基盤として急速に普及したMCPだが、セキュリティ設計が追いついていないツールも多い。今回のTerraform MCPサーバーの脆弱性はその典型だな。

チップス

えっ、AIとインフラ管理ツールが組み合わさった脆弱性でしゅか？なんかすごく危険な匂いがするでしゅ！

クラウドインフラ管理の自動化に使われるHashiCorpのTerraform MCPサーバーに、3件の深刻な脆弱性が発見されました。
最も深刻なCVE-2026-16498はCVSSスコア10.0（最大値）で、別ユーザーのTerraformトークンを使ってインフラを操作できます。

Terraform MCPサーバーを使うチームが今すぐ確認すべき内容をまとめます。

Terraform MCPサーバーで何が起きたか

2026年8月5日、HashiCorpはTerraform MCPサーバー（terraform-mcp-server）に3件の脆弱性を修正したバージョン1.1.0を公開しました。
このツールはAIエージェントからTerraformのインフラ管理操作を可能にするMCP（Model Context Protocol）サーバーで、クラウドリソースの自動化に活用されています。

チップス

MCPサーバーって何でしゅか？

ボス

AIエージェントがツールを呼び出すための標準プロトコルだな。TerraformのMCPサーバーを使うと、AIがTerraformコマンドを実行してインフラを直接操作できる。便利だが、セキュリティ上の問題があれば影響が甚大だ。

今回発覚した3件の脆弱性の概要は以下のとおりです。

影響を受けるバージョンはv0.3.0〜v1.0.0です。全件v1.1.0で修正済みです。

脆弱性の仕組みとクラウドインフラへの脅威

3件の中で最も深刻なCVE-2026-16498の根本原因は、MCPライブラリがステートレスHTTP（Streamable HTTP）モードで一意のセッション識別子を割り当てない点にあります。
Terraform MCPサーバーは認証情報のキャッシュにセッションIDをキーとして使用していました。しかし、ステートレスモードではセッションIDが割り当てられないため、サーバーがユーザーを識別できません。
結果として、先のユーザーのTerraformトークンが後続のリクエストにも再利用される状態になり、別テナントのインフラを操作できます。

チップス

つまり、共有サーバーでAさんが使った後にBさんがリクエストを送ると、AさんのトークンでBさんのリクエストが処理されるでしゅか！？

ボス

まさにそのとおりだ。Terraform経由でクラウドインフラに読み取り・書き込みが可能なトークンを悪用されれば、仮想マシンの削除やネットワーク設定の改ざんも起こりうる。

今回のリスクのポイントは以下のとおりです。

CVE-2026-16496は、ステートフルモードでも類似の問題が存在します。セッションIDのみで認証情報を紐付けるため、セッションIDが特定・再利用されると別ユーザーのクライアントとして動作します。
CVE-2026-14869のSSRFは、Terraformアドレスの検証がHTTPヘッダーのみで行われ、クエリパラメーターは対象外だった欠陥です。認証不要で攻撃でき、サーバーが保持するBearerトークンを攻撃者のエンドポイントへ転送させられます。

まとめ：AIエージェント基盤のセキュリティは見落とされやすい

Terraform MCPサーバーの脆弱性は、AI自動化ツールのセキュリティ検証が後回しにされがちな現状を示しています。
MCPサーバーはクラウドインフラへの強力なアクセス手段を持つため、認証・認可の設計には特に注意が必要です。

チップス

パッチを当てる以外に、何か今すぐできることはあるでしゅか？

ボス

v1.1.0への即時アップグレードが最優先だな。すぐに動けない場合は、ステートレスHTTPモードを無効化し、認証済みリバースプロキシの後ろに配置することで一時的に緩和できる。

今すぐ取るべき対応は以下のとおりです。

インフラ自動化とAIの組み合わせは、セキュリティリスクも複合的に高まります。
Terraform MCPサーバーを利用している開発・運用チームは、今すぐバージョンを確認してください。