NASTFS 日々緊急注意情報
MCPの転送先への情報漏えいとOpenClawの安全更新、Chrome 154の重大修正（10月3日）
公開・更新日: 2026-10-03
要点
MCP Python SDKのHTTPクライアントが別の配信元へのリダイレクトをたどると、独自の認証用ヘッダーや一部の要求本文が転送先へ漏れる可能性があります。公式重要度はMediumです。転送先を第三者へ変更できる条件で問題となり、AuthorizationのBearerヘッダーだけの場合はこの漏えいの対象ではありません。MCPサーバーと標準入出力（stdio）のクライアントは対象外です。OpenClawの公式更新では、読み取り専用スキルの処理とTelegramの編集権限の再確認、更新・復旧処理などを改善しています。Chrome 154の11件の修正にはCritical 1件、High 9件、Medium 1件が含まれ、細工されたWebページによる情報漏えいや任意コード実行を防ぐ修正が案内されています。
影響する可能性がある範囲
MCP：Python SDK 1.8.0～1.29.1および2.0.0～2.1.1のHTTP／SSEクライアントと関連OAuth要求が対象です。修正版は1.30.0または2.2.0以降です。OpenClaw：2026.9.8は2026.9系の信頼性・安全な復旧の更新、2026.8.35はGateway専用extended-stable保守版です。両系統を混同せず、利用している系統の公式説明を確認してください。Chrome：修正版はWindows・Mac 154.0.8037.97／.98、Linux 154.0.8037.97です。CriticalのCVE-2026-103628はWebGLの範囲外書き込みです。Chromeの修正版番号を他のChromiumベース製品へそのまま当てはめず、各製品提供元の案内を確認してください。
推奨する安全な対応
MCPのHTTPクライアント利用者は1.30.0または2.2.0以降へ更新し、別の配信元への転送に依存している接続は、確認した最終接続先URLを直接指定してください。更新までの間は公式案内に従い自動リダイレクトを無効にしたHTTPクライアントを渡してください。制御できない転送先へ秘密情報が送られた可能性がある場合は、その情報を更新してください。OpenClaw利用者は自分のリリース系統の公式更新内容と互換性を確認してください。Chrome利用者は製品の更新機能で修正版へ更新し、再起動後の版を確認してください。MCP注意情報は10月2日UTC公開（日本時間10月3日）、OpenClawの2系統は10月2日～3日UTC公開です。Chromeは10月1日公開分で、CVEのNVD登録が10月2日に行われた内容を日付付き補足として案内します。
確認した一次情報
- https://github.com/modelcontextprotocol/python-sdk/security/advisories/GHSA-5h93-6whr-6q8j
- https://github.com/openclaw/openclaw/releases/tag/v2026.9.8
- https://raw.githubusercontent.com/openclaw/openclaw/v2026.9.8/CHANGELOG/2026.9.8.md
- https://github.com/openclaw/openclaw/releases/tag/v2026.8.35
- https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop.html
- https://nvd.nist.gov/vuln/detail/CVE-2026-103628
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
