情報取得日: 2026/07/17／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-57860 |
|---|---|
| 製品 | Tailcall / ForgeCode (tailcallhq/forgecode) 2.11.1 以前 |
| CVSS | 7.8（High） CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-829 Inclusion of Functionality from Untrusted Control Sphere |
| 登録／公開日 | 2026/07/17 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-57860 |
AI ペアプログラミング CLI の ForgeCode は、起動時にリポジトリ直下の .mcp.json に定義された MCP サーバを利用者の確認なしで自動的に読み込み、起動する。.mcp.json の mcpServers エントリは command と args を任意に指定できるため、悪意あるリポジトリが command に bash、args に -c と任意のコマンドを書いておくと、利用者がそのリポジトリを clone して forge コマンドを実行した時点で、実行ユーザの権限で任意のコマンドが起動する。攻撃には利用者の操作（未検証リポジトリの中で CLI を起動すること）が必要だが、未知のリポジトリを AI ツールで下読みする作業自体が日常化しているため、開発者端末への初期侵入・永続化の手段として現実的である。CVSS は v4.0 で 8.4、v3.1 で 7.8。アドバイザリの影響範囲は 2.11.1 以前、修正は commit 68ca3a3 で、現行のリリース（2026-07-16 の v2.13.18 時点）には含まれている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 情報確認中 |
AWS のマネージドサービスに影響は無い。ただし CodeBuild や EC2 上の CI/開発環境で ForgeCode を使っている場合は、そのイメージ内のバージョンを更新する。
開発者端末・CI 実行環境側の問題。
参照リンク
|
| GCP | 情報確認中 |
GCP のマネージドサービスに影響は無い。Cloud Build や開発用 VM に ForgeCode を入れている場合は更新する。
開発者端末・CI 実行環境側の問題。
参照リンク
|
| Azure | 情報確認中 |
Azure のマネージドサービスに影響は無い。Azure Pipelines のセルフホストエージェント等に ForgeCode を入れている場合は更新する。
開発者端末・CI 実行環境側の問題。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ForgeCode を最新版へ更新する（npm でのインストールなら `npm i -g forgecode@latest` 等、導入方法に合わせて更新する）。あわせて、未検証リポジトリ内で CLI を起動する前に `.mcp.json` の有無と中身を確認する。
利用者権限での実行のため root 化は伴わないが、開発者端末の認証情報やソースへのアクセスは成立する。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
ForgeCode を最新版（2.13 系）へ更新する。より重要なのは、この問題が ForgeCode 固有ではなく、リポジトリ内の設定ファイルから MCP サーバを自動起動する CLI 全般に共通する設計上の穴である点である。手元の AI コーディングツールについて、(1) リポジトリ同梱の MCP 設定を自動で読むか、(2) 読む場合に起動前の確認があるか、を実際に設定ファイルとドキュメントで確認する。未検証のリポジトリを開く作業は、コンテナや使い捨て VM など隔離環境で行う。clone 直後に `.mcp.json`（および同種の設定ファイル）の中身を目視する運用を入れるだけでも、この型の攻撃は検知できる。
High（CVSS 7.8）に分類されるTailcall ForgeCode (tailcallhq/forgecode) 2.11.1 以前の脆弱性です。AI ペアプログラミング CLI の ForgeCode は、起動時にリポジトリ直下の .mcp.json に定義された MCP サーバを利用者の確認なしで自動的に読み込み、起動する。.mcp.json の mcpServers エントリは command と args を任意に指定できるため、悪意あるリポジトリが command に bash、args に -c と任意のコマンドを書いておくと、利用者がそのリポジトリを clone して forge コマンドを実行した時点で、実行ユーザの権限で任意のコマンドが起動する。攻撃には利用者の操作（未検証リポジトリの中で CLI を起動すること）が必要だが、未知のリポジトリを AI ツールで下読みする作業自体が日常化しているため、開発者端末への初期侵入・永続化の手段として現実的である。CVSS は v4.0 で 8.4、v3.1 で 7.8。アドバイザリの影響範囲は 2.11.1 以前、修正は commit 68ca3a3 で、現行のリリース（2026-07-16 の v2.13.18 時点）には含まれている。
ForgeCode を最新版（2.13 系）へ更新する。より重要なのは、この問題が ForgeCode 固有ではなく、リポジトリ内の設定ファイルから MCP サーバを自動起動する CLI 全般に共通する設計上の穴である点である。手元の AI コーディングツールについて、(1) リポジトリ同梱の MCP 設定を自動で読むか、(2) 読む場合に起動前の確認があるか、を実際に設定ファイルとドキュメントで確認する。未検証のリポジトリを開く作業は、コンテナや使い捨て VM など隔離環境で行う。clone 直後に `.mcp.json`（および同種の設定ファイル）の中身を目視する運用を入れるだけでも、この型の攻撃は検知できる。
Tailcall ForgeCode (tailcallhq/forgecode) 2.11.1 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-57860）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。