Google Cloud MCP Toolbox for Databasesのcloud-storage連携にパストラバーサルと認可不備（CVE-2026-93328、CVSS 9.3）。影響範囲と1.5.0以降への更新、アクセス制限設定を解説。
30秒でわかる / THE SIGNAL
cloud-storage連携のツール引数を悪用し、認証なしでホスト内ファイルを外部バケットへ送信したり、ローカルファイルを上書きしたりする恐れ。1.5.0以降へ更新し、許可するディレクトリとバケットを明示的に制限する。
何が公表されたか
2026年10月26日公表のCVE-2026-93328は、Google Cloud MCP Toolbox for Databasesのcloud-storage sourceにおけるパストラバーサルと認可不備。CVSS v4.0は9.3（Critical）。細工したツール呼び出し引数によって、認証されていない遠隔の攻撃者がホスト内ファイルを外部Google Cloud Storageバケットへ送信し、任意のローカルファイルを上書きする恐れがある。一次情報：https://github.com/advisories/GHSA-2gc9-c85v-5vwr
影響するバージョンと条件
影響するのはMCP Toolbox for Databases 1.2.0以上1.5.0未満（1.2.0～1.4.0）。cloud-storage sourceの利用状況、ツール呼び出し権限、サービスがアクセスできるローカルファイルとクラウドバケットの範囲によって実際の被害可能性は変わる。すべてのMCPサーバーに共通する欠陥ではない。
修正と推奨対応
開発元の修正は1.5.0以降。更新とともにallowedLocalRootsでアクセス可能なローカルディレクトリ、allowedBucketsで利用可能なCloud Storageバケットを明示的に限定する。実行OSユーザーとGoogle Cloud IAMも最小権限とし、外部公開・認証・ツール呼び出しログを確認する。修正PR：https://github.com/googleapis/mcp-toolbox/pull/3454
悪用状況とWORK SIGNALの視点
2026年10月27日の確認時点で参照した一次情報から実環境での悪用が確認されたとは断定できない。AIエージェントのツール接続では、モデルの指示制御だけでなく、ツール自体のファイル・クラウドアクセス権限を限定することが重要だ。