Résumé
Le 10 mars 2026, une faille de sécurité a été identifiée dans Azure MCP Server Tools. Référencée sous CVE-2026-26118, cette vulnérabilité permet à un attaquant déjà autorisé de faire envoyer par le serveur des requêtes vers d’autres machines du réseau, ce qui peut lui donner plus de privilèges. Une preuve de concept publique a été publiée sur GitHub.
Solutions
Il est recommandé d’appliquer les correctifs indiqués par le fournisseur.
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 8.8/10 (HIGH)
EPSS : 0.96%
Code d’exploitation disponible : oui
Systèmes affectés
Azure MCP Server Tools 1.0.0 (npm) : < 1.0.2
Azure MCP Server Tools 1.0.0 (NuGet) : < 1.0.2
Azure MCP Server Tools 2.0.0 (npm) : < 2.0.0-beta.17
Azure MCP Server Tools 2.0.0 (NuGet) : < 2.0.0-beta.17
Azure MCP Server Tools 2.0.0 (PyPi) : < 2.0.0-beta.17
Documentation
NIST NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-26118
CVE Details : https://www.cvedetails.com/cve/CVE-2026-26118/
Référence CVE : https://www.cve.org/CVERecord?id=CVE-2026-26118
CWE : https://www.cvedetails.com/cwe-details/CWE-918/