Veille Technologique MCP – Semaine 44 2026 : Durcissement des SDK officiels

Résumé Exécutif

Cette synthèse couvre la période du 26 octobre au 1er novembre 2026 (semaine 44). La semaine est dominée par la sécurité : quatre avis concernant les SDK officiels Python et TypeScript du Model Context Protocol (MCP) ont été référencés dans la base GitHub Advisory Database le 27 octobre, et une faille d’injection de commandes dans le paquet open, utilisé lors des connexions OAuth, a reçu son identifiant CVE le 29 octobre.

Côté écosystème, les serveurs de référence (version 2.2.0), l’Inspector (version 2.13.0), le registre officiel et plusieurs SDK (Rust, Kotlin, Ruby) ont publié des versions, tandis que Smithery a arrêté son service de proxy le 31 octobre. Aucune nouvelle révision de la spécification n’a été publiée : la version en vigueur reste celle du 28 juillet 2026.

Évolution et Contexte

Contexte de la Période

Depuis la publication de la spécification du 28 juillet 2026, qui rend le protocole sans état au niveau de son cœur, les mainteneurs publient les versions majeures 2.x des SDK et des serveurs de référence. La fin octobre est marquée par la consolidation : correctifs de sécurité, limites de ressources et mises à jour de dépendances. Le blog officiel du projet n’a publié aucun article durant la période (le dernier date du 29 septembre 2026, consacré au SDK Ruby de niveau 1).

Développements de la Semaine

Trois thèmes ressortent. Premièrement, les SDK Python et TypeScript corrigent des défauts de confiance entre client et serveur : jetons destinés à un autre service acceptés, redirections vers un autre domaine, corps de requêtes sans limite de taille. Deuxièmement, la chaîne OAuth des clients MCP devient une surface d’attaque à part entière, comme le montre la faille du paquet open. Troisièmement, les outils d’exploitation (Inspector, registre, serveurs de référence) publient des versions de durcissement et de performance.

Évolution et Tendances

Les derniers articles de cette veille portaient sur l’adoption en entreprise (23 septembre 2026), la sécurité et la gouvernance (15 septembre), la maturation de l’autorisation en entreprise (31 août) et le SDK Rust de niveau 1 (25 août). Cette semaine confirme la tendance de fond déjà visible dans la base d’avis GitHub : après les avis du SDK Ruby (30 juillet), du SDK PHP (19 août) et du SDK Rust rmcp (16 et 17 septembre, puis 2 octobre), c’est au tour des SDK Python et TypeScript de recevoir des correctifs sur les mêmes familles de défauts (redirections, validation de l’audience des jetons, limites de mémoire). Le volume d’annonces commerciales est en revanche plus faible que pendant les semaines précédentes : aucune annonce d’éditeur datée de la période n’a pu être confirmée par une source primaire.

Actualités

Sécurité

SDK Python : un jeton destiné à un autre service est accepté (CVE-2026-116684)

27 octobre 2026 (référencé dans la GitHub Advisory Database ; publication initiale par les mainteneurs le 5 octobre 2026) : l’avis GHSA-w4fh-qvv9-3v23, de gravité moyenne (CVSS 3.1 : 6,8), concerne le paquet mcp (SDK Python). L’authentification par jeton porteur côté serveur ne vérifiait pas l’audience du jeton : un jeton valide émis pour un autre service du même serveur d’autorisation était accepté. Versions touchées : 1.10.0 à 1.29.1 et 2.0.0 à 2.1.1. Versions corrigées : 1.30.0 et 2.2.0. Action recommandée : mettre à jour, puis activer le paramètre validate_token_resource, désactivé par défaut, en renseignant l’audience du jeton. Source : GHSA-w4fh-qvv9-3v23.

SDK Python : redirections vers un autre domaine (CVE-2026-116685)

27 octobre 2026 (référencé dans la GitHub Advisory Database ; publication initiale le 2 octobre 2026) : l’avis GHSA-5h93-6whr-6q8j, de gravité moyenne (CVSS 3.1 : 5,9), vise les transports clients HTTP Streamable et SSE du SDK Python ainsi que ses fournisseurs OAuth, qui suivaient les redirections vers n’importe quel hôte. Des en-têtes personnalisés, par exemple des clés d’API, et le corps des requêtes (redirections 307 et 308) pouvaient ainsi être envoyés à un autre domaine. Versions touchées : 1.8.0 à avant 1.30.0 et 2.0.0 à avant 2.2.0 ; corrigées en 1.30.0 et 2.2.0. Action recommandée : mettre à jour le paquet. Source : GHSA-5h93-6whr-6q8j.

SDK Python : lecture de références de schéma choisies par le serveur (CVE-2026-116686)

27 octobre 2026 (référencé dans la GitHub Advisory Database ; publication initiale le 28 septembre 2026) : l’avis GHSA-rwrf-2pqf-9j8j, de gravité moyenne (CVSS 3.1 : 6,5), décrit un client Python qui récupérait les adresses $ref non résolues des schémas de sortie d’outils. Un serveur malveillant pouvait ainsi provoquer des requêtes HTTP(S) ou la lecture de fichiers locaux, et bloquer toutes les sessions du processus si la cible répondait lentement. Versions touchées : 1.10.0 à avant 1.30.0 et 2.0.0 à avant 2.2.0 ; corrigées en 1.30.0 et 2.2.0. Action recommandée : mettre à jour. Source : GHSA-rwrf-2pqf-9j8j.

SDK TypeScript : absence de limite de taille des requêtes HTTP (GHSA-f897-62hf-6gxq)

27 octobre 2026 (référencé dans la GitHub Advisory Database ; publication initiale le 15 octobre 2026) : cet avis de gravité élevée (CVSS 3.1 : 7,5, déni de service) indique que les serveurs MCP accessibles en HTTP ne plafonnaient ni la taille des corps POST ni le nombre de messages d’un lot JSON-RPC, ce qui permet d’épuiser la mémoire. Aucun identifiant CVE n’est associé. Versions touchées : @modelcontextprotocol/sdk 1.10.0 à avant 1.30.1, et les paquets server et node 2.0.0 à avant 2.1.0, hono 2.0.0 à avant 2.0.1. Les serveurs en stdio seul ne sont pas concernés. Le correctif ajoute des limites de 4 Mio et de 100 messages. Source : GHSA-f897-62hf-6gxq.

Paquet « open » : injection de commandes via des URL OAuth (CVE-2026-119025)

29 octobre 2026 : le paquet npm open, versions 7.2.0 à avant 11.0.0, transmet sans échappement des URL à PowerShell sous Windows et WSL. Une URL contenant une sous-expression $(…), par exemple le point d’accès d’autorisation OAuth fourni par un serveur MCP malveillant, peut donc exécuter du code. GitHub indique une gravité élevée (CVSS 4.0 : 7,7) ; d’autres sites de suivi affichent 7,5 et l’analyse NVD était en attente. Version corrigée : 11.0.0. Action recommandée : mettre à jour open, vérifier les dépendances indirectes et n’ouvrir que des URL http(s) de confiance. L’Inspector MCP 2.12.0 (21 octobre) avait déjà relevé la dépendance à la version 11. Source : GHSA-jgwm-4pmq-r4w4.

Langflow : correctifs de sécurité liés à l’accès MCP (bulletin IBM)

28 et 29 octobre 2026 : selon des sites spécialisés (Ostorlab, Cyberpress), IBM a publié le 28 octobre un bulletin de sécurité sur Langflow OSS, mis à jour le 29 octobre, avec 33 enregistrements CVE. Parmi eux, CVE-2026-93680 (contournement d’authentification, CVSS 9,8) et CVE-2026-110186 (exécution de code à distance, CVSS 9,8). Le lien avec MCP : un module Metasploit permet de lister, sans identifiants, les outils exposés par le point d’accès MCP de Langflow. Versions touchées : 1.0.0 à 1.12.8 ; version corrigée : 1.13.0. Ces informations reposent sur des sources secondaires et les numéros de bulletin et de CVE doivent être confirmés sur la page d’IBM avant toute action. Source : bulletin IBM 7294467.

Évolutions du protocole et des SDK

Serveurs de référence 2.2.0 : réponse à la compromission d’une autorité de certification

28 octobre 2026 : la version 2.2.0 du dépôt des serveurs de référence met à jour les serveurs everything, filesystem, memory, fetch, git et time. Elle répond à la compromission signalée de clés d’autorités intermédiaires de l’AC eMudhra, qui a conduit Node.js et le paquet Python certifi à publier des correctifs. Les utilisateurs de serveurs TypeScript doivent employer Node.js 24.22.1, 26.12.1 ou plus récent ; le serveur fetch exige certifi 2026.10.23 ou plus récent. Le serveur fetch gagne aussi la gestion de robots.txt. Source : notes de version v2.2.0.

Inspector 2.13.0

28 octobre 2026 : la nouvelle version de l’outil de test officiel protège les destinations OAuth contre les adresses locales de lien et de métadonnées, met à jour les dépendances undici et fast-uri, ajoute des seuils de montée en charge en ligne de commande et passe au SDK TypeScript 2.4.0. Elle rappelle de fonctionner sur une version corrigée de Node.js. Pour rappel, la version 2.12.0 du 21 octobre corrigeait trois failles des versions 2.0.0 à 2.11.0. Source : page des versions de l’Inspector.

Registre officiel : versions 1.8.5, 1.8.6 et 1.8.7

26, 27 et 30 octobre 2026 : trois versions du registre officiel ont été publiées. La 1.8.5 ajoute des diagnostics de performance en production et corrige la gestion des signatures P-384, la 1.8.6 accélère la recherche (les termes doivent faire au moins trois caractères, sinon réponse HTTP 422), la 1.8.7 introduit un cache optionnel des listes, désactivé par défaut. Les mainteneurs précisent que les tests de capacité de cette dernière fonction sont non concluants. Source : page des versions du registre.

SDK Rust : rmcp 3.8.0

26 octobre 2026 : la version expose les erreurs d’état HTTP sans le corps de la réponse et cesse de rétablir les flux SSE après une erreur GET permanente. La version rmcp-macros 3.8.0 accepte les annotations x-mcp-header imbriquées. Source : page des versions rmcp.

SDK Kotlin 0.16.0 : plafonds de mémoire et sessions limitées

27 octobre 2026 : la version ferme des failles d’épuisement mémoire des serveurs WebSocket et HTTP Streamable (messages WebSocket limités à 16 Mio) et déprécie le transport SSE au profit de HTTP Streamable. Les sessions expirent après 30 minutes d’inactivité, dans la limite de 10 000 sessions ouvertes. Plusieurs changements sont incompatibles. Un avis du 11 octobre signalait une allocation mémoire non contrôlée dans les versions jusqu’à la 0.15.0. Source : page des versions du SDK Kotlin.

SDK Ruby 1.8.2

27 octobre 2026 : cette version de maintenance fait consulter le gestionnaire d’abonnement aux ressources par le flux subscriptions/listen et corrige plusieurs cas d’erreur du transport stdio et du transport HTTP. Source : page des versions du SDK Ruby.

Adoptions entreprise

Aucune annonce d’éditeur datée de la période n’a pu être confirmée par une source primaire. Les annonces observées autour de la période sont antérieures (Azure MCP Server 3.0 le 12 octobre 2026) ou postérieures (athenahealth le 2 novembre 2026) et relèveront d’autres synthèses.

Nouveaux serveurs

Smithery arrête son service de proxy

31 octobre 2026 : Smithery a mis fin à ses services de gestion de connexions : les adresses run.tools et server.smithery.ai, l’API, les comptes, les clés d’API, la CLI et les SDK cessent de fonctionner, tandis que smithery.ai subsiste comme simple annuaire opéré par Arcade.dev. Les développeurs sont invités à utiliser les adresses MCP officielles de chaque éditeur ou à publier leurs serveurs dans le registre officiel. Source : annonce de Smithery.

Tutoriels

Aucun tutoriel daté de la période n’a pu être vérifié. Les guides de démarrage consultés ne portent pas de date de publication fiable.

Communauté

Le calendrier officiel indique des réunions publiques du groupe de travail Registre le 29 octobre et de groupes Transports, Fichiers, Agents et Tâches le 30 octobre 2026. L’arrêt du proxy Smithery et le gel des nouvelles soumissions de PulseMCP, rapporté par des blogs secondaires, poussent la communauté à publier en priorité dans le registre officiel.

Conclusion

La semaine 44 illustre la maturation de l’écosystème MCP : plutôt que des nouveautés fonctionnelles, ce sont des correctifs de robustesse qui dominent. Les failles corrigées dans les SDK Python et TypeScript relèvent toutes d’une même logique, ne pas faire confiance à l’interlocuteur (jeton d’un autre service, redirection, schéma distant, requête démesurée).

Les points à surveiller sont l’application effective des correctifs (le contrôle d’audience des jetons Python est désactivé par défaut), la diffusion du correctif de open dans les dépendances indirectes, l’évolution du registre officiel après le retrait du proxy Smithery et, côté entreprise, les annonces qui suivront l’événement AGNTCon + MCPCon tenu à San Jose les 22 et 23 octobre.

Sources

• GitHub Advisory Database, recherche modelcontextprotocol
• GHSA-w4fh-qvv9-3v23
• GHSA-5h93-6whr-6q8j
• GHSA-rwrf-2pqf-9j8j
• GHSA-f897-62hf-6gxq
• GHSA-jgwm-4pmq-r4w4 (CVE-2026-119025)
• Bulletin IBM Langflow 7294467
• Serveurs de référence v2.2.0
• Inspector MCP, versions
• Registre officiel, versions
• SDK Rust, versions
• SDK Kotlin, versions
• SDK Ruby, versions
• Smithery, annonce de fermeture du proxy
• Blog officiel MCP
• Calendrier des événements MCP

Glossaire – Pour Mieux Comprendre

MCP (Model Context Protocol) : protocole ouvert qui standardise la connexion des assistants d’IA à des outils et des données, comme une prise universelle pour appareils électriques.

SDK : kit de développement logiciel : une boîte à outils prête à l’emploi, comme un meuble en kit livré avec ses vis et sa notice.

Serveur MCP : programme qui expose des outils ou des données à une IA, à la manière d’un guichet spécialisé.

Client MCP : application côté utilisateur qui interroge les serveurs MCP, comme un client qui s’adresse aux guichets.

CVE : identifiant public unique d’une faille de sécurité connue, comparable à un numéro de dossier médical pour une vulnérabilité.

GHSA : identifiant d’un avis de sécurité de GitHub, équivalent d’un bulletin d’alerte publié par le dépôt.

CVSS : note de 0 à 10 mesurant la gravité d’une faille, comme l’échelle de Richter pour les séismes.

OAuth : mécanisme d’autorisation qui donne accès à un service sans partager son mot de passe, à la manière d’un badge temporaire remis à un visiteur.

Jeton porteur (bearer token) : justificatif numérique valable pour quiconque le présente, comme un ticket de cinéma.

Audience d’un jeton : service auquel le jeton est destiné ; vérifier l’audience revient à contrôler que le ticket est bien pour la bonne salle.

Redirection HTTP : réponse qui renvoie le client vers une autre adresse, comme un courrier réexpédié à une nouvelle adresse.

Injection de commandes : attaque qui glisse des instructions dans une donnée afin de les faire exécuter, comme une fausse consigne cachée dans un formulaire.

Déni de service : attaque qui sature un service pour le rendre indisponible, comme une foule bloquant l’entrée d’un magasin.

Épuisement de mémoire : situation où un programme consomme toute la mémoire disponible, comme un sac qu’on remplit jusqu’à ce qu’il déborde.

Streamable HTTP : transport MCP en HTTP permettant l’échange continu de messages, semblable à un tuyau où l’eau circule dans les deux sens.

stdio : canal d’entrée et de sortie standard d’un programme local, comme un guichet où l’on dépose et récupère des papiers.

Lot JSON-RPC (batch) : plusieurs requêtes envoyées dans un seul message, comme une liste de courses remise d’un coup.

SSRF : attaque qui pousse un serveur à émettre des requêtes vers des cibles choisies par l’attaquant, comme un employé abusé pour passer des appels à sa place.

Inspector : outil officiel de test d’un serveur MCP, comparable à un banc d’essai pour moteur.

Registre officiel MCP : annuaire central des serveurs MCP publiés, à la manière d’un registre du commerce.

Dépendance indirecte : bibliothèque utilisée par une autre bibliothèque, comme une pièce cachée dans un sous-assemblage.

Autorité de certification : organisme qui garantit l’identité d’un site, comme une préfecture qui délivre les cartes d’identité.