Sabitlenmiş MCP server beş haftada 15 farklı bağımlılık setiyle çalıştı: Corelight, sürüm sabitlemenin alt paketleri kilitlemediğini gösterdi
Corelight'ın laboratuvarında tek bir sürüme sabitlenmiş MCP server, yapılandırmasına dokunulmadan beş haftada 15 farklı bağımlılık setiyle çalıştı; 69 paketin 23'ünün sürümü değişti. İncelenen 35 MCP server'ın 23'ünde önerilen kurulum her başlatmada açık registry'den paket çekiyor.
Bir yöneticinin iş istasyonunda tek bir sabit sürümü çalıştıracak şekilde ayarlanmış MCP server, yapılandırmasına hiç dokunulmadığı halde beş haftada 15 farklı bağımlılık setiyle çalıştı. Help Net Security'nin 13 Kasım'da aktardığı bulgu, Corelight'ta Director of Technical Alliances olan James Lagermann'a ait. Server'ın 69 paketinden 23'ünün sürümü değişti; değişenler arasında kriptografi kütüphanesi, JSON Web Token kütüphanesi ve MCP SDK'nın kendisi de var.
MCP (Model Context Protocol) server'ları, AI coding assistant'ların kullanıcı adına başka araçlarda işlem yapmasını sağlıyor ve bu yüzden çoğu zaman o kullanıcının credential'larını taşıyor. Corelight'ın iş istasyonunda server'lar bir haftada firewall, SIEM ve sensör yönetimi dahil 11 yönetim sistemine 1.600'den fazla bağlantı kurdu. Bağımlılıklardan birine sızan kod, bu erişimle çalışır.
Sürüm sabit, altındaki paketler değil
Assistant'lar server'ları, bir Python paketini tek satırlık yapılandırmayla indirip çalıştıran uvx ile başlatıyordu. Her kayıt belirli bir release etiketini, PyPI sürümünü ya da Git commit'ini gösteriyordu. Ancak bir topluluk server'ında başlatıcı, projenin hash ile sabitlenmiş lock dosyasını atlayıp paketin beyan ettiği bağımlılıklardan kurulum yaptı. Böylece alttaki yaklaşık 60 paket, ortam her yeniden kurulduğunda PyPI'dan taze çözüldü.
Assistant bir server'ı haftada 162 kez başlattı. Çoğu başlatma önbellekteki ortamı kullandı, ama önbellekte aynı release ve commit için 19 ayrı build vardı. Haberde bu sıklığın önemi şöyle açıklanıyor: ele geçirilmiş bir paket sürümü yalnızca dakikalar ya da saatler boyunca yayında kalabiliyor. Haziran 2026'da PyPI'daki bir Shai-Hulud worm varyantının MCP temalı paketleri ve AI coding assistant anahtarlarını hedef aldığı da hatırlatılıyor.
Sahadaki tablo
Corelight, iki üretici kataloğundan ve kendi laboratuvarından 35 MCP server inceledi. 23'ünde önerilen kurulum, bağımlılıkları her başlatmada, her kurulumda ya da her imaj build'inde açık bir registry'den çekiyordu. Lagermann, konuştuğu yöneticilerin tamamının bu sorunu taşıyan en az bir MCP server kullandığını söyledi; 23 server'ın bakımcılarına bildirim yaptığını, bir AI agent pazaryerinin inceleme sürecini güncellediğini ve bir üreticinin server'ını yeniden paketlediğini ekledi.
Şirket beş server'ı "dondurdu": commit'e sabitleme, hash'li lock dosyasından tek seferlik kurulum, doğrudan başlatma ve güncelleme kontrolünün kapatılması. İki hafta ve 457 başlatma boyunca kurulu paket listesi ilk günle aynı kaldı. Bedeli de var: dondurulan kod eskiyor; bir topluluk server'ında 40 paket, o gün çekilecek sürümlerden eskiydi.
Ne yapılmalı?
- MCP yapılandırmalarınızı gözden geçirin: Python ya da npm paket çalıştırıcısıyla başlatılan veya "latest" etiketli her kayıt, bir sonraki oturumda açık registry'den yeni kod çözebilir.
- Yönetim sistemlerine erişen MCP server'ları commit'e sabitleyin ve hash'li lock dosyasından kurun; kurulu paket listesini kayıt altına alıp periyodik olarak karşılaştırın.
- Dondurulan server'lar için bir güncelleme takvimi belirleyin; Lagermann bakımcının güncelleme önerisini izlemeyi ve zafiyet taramasını düzenli yapmayı öneriyor.
- MCP server'lara verilen credential'ları en az yetkiyle sınırlayın; firewall ve SIEM gibi sistemlerde salt okunur hesap kullanmayı değerlendirin.
- Geliştirici iş istasyonlarından yönetim sistemlerine giden bağlantıları izleyin; hangi aracın hangi sisteme eriştiğinin envanterini çıkarın.
