AWS Kiro 脆弱性CVE-2026-10591とは｜MCP設定書き換えRCEを2系統の報告から検証

AWS Kiro（Amazonのagentic IDE）に、AWS Kiro 脆弱性CVE-2026-10591として公表されたリモートコード実行（RCE）の欠陥が見つかった。ファイル書き込みツールのアクセス制御が不十分だったため、悪意ある指示を読み込ませるだけで、リモートの未認証攻撃者が.vscode/tasks.jsonのような実行に直結するパスへ書き込み、フォルダを開いた時点で任意コードを自動実行できた。

厄介なのは、この事案を追う一次ソースが2系統に分かれ、バージョン番号も日付も一致しないことだ。AWS公式のセキュリティ速報と、7月に相次いだ第三者セキュリティ企業のブログでは、影響バージョン・修正バージョンの記述が異なる。本記事はどちらか一方へ強引に統一せず、出典ごとに整理して提示する。

自分の環境がKiroを使っているなら、まず以下を確認する。

# Kiroのバージョン確認（macOS/Linuxでインストールパスは要確認）
kiro --version 2>/dev/null || echo "Kiro未インストール"
# MCP設定ファイルに見慣れないサーバーが登録されていないか目視確認
cat ~/.kiro/settings/mcp.json 2>/dev/null
# 設定ファイルの更新日時が意図しないタイミングでないか確認
stat ~/.kiro/settings/mcp.json 2>/dev/null
# .vscode/tasks.json も同様に確認（AWS公式bulletinが名指しした経路）
cat .vscode/tasks.json 2>/dev/null

エージェントIDE・開発者ツールを狙うサプライチェーン攻撃の全体像は サプライチェーンセキュリティ2026｜攻撃手法・防御ツール・実践チェックリスト をご覧ください。

AWS Kiro 脆弱性CVE-2026-10591とは：MCP設定書き換えRCEの正体

AWS Kiroは、Amazon Web Servicesが提供するagentic IDE（AIエージェントが自律的にコード編集・タスク実行を行う統合開発環境）で、VS Codeをベースにしたデスクトップアプリケーションとして配布されている。本体コードは非公開のクローズドソース製品であり、GitHubリポジトリ・star数・ライセンスといった、当サイトが通常のOSS記事で扱う指標は該当しない。

AWS公式のセキュリティ速報は、CVE-2026-10591を次のように説明している。

“Insufficient access control restrictions in the file write tool in Kiro IDE prior to version 0.11 might allow remote unauthenticated actors to execute arbitrary commands via crafted instructions that cause writes to execution-sensitive paths (such as .vscode/tasks.json), enabling auto-execution on folder open.”

要約すると、Kiroのエージェントが持つ「ファイルを書き込む」というツールに、書き込み先パスの制限が足りなかった。攻撃者が用意した指示（プロンプト）をエージェントに読み込ませると、通常の作業ファイルではなく.vscode/tasks.jsonのようなVS Code自体が起動時に自動実行するファイルへ書き込みが行われ、フォルダを開いただけでコードが実行される。攻撃者は事前にKiroへアクセス権を持つ必要がなく、リモートかつ未認証の状態から悪用できる、というのがAWS公式bulletinの評価だ。

CVEの発見・報告は、協調的脆弱性開示（coordinated vulnerability disclosure）のプロセスに則り、セキュリティ企業Cymulateが行った。AWS公式bulletinはCymulateをクレジット先として明記している。bulletinの公開日時は2026-06-02 08:45 AM PDTで、修正版は0.11としている。

自分の環境が影響を受けるか確認する方法

Kiroを導入している場合、確認すべきポイントは3つに分けられる。

・バージョン確認：Kiro IDEが0.11未満であれば、AWS公式の分類上は該当する
・設定ファイルの中身：~/.kiro/settings/mcp.jsonに、自分で登録した覚えのないMCPサーバーが追加されていないか
・実行系パスの中身：.vscode/tasks.jsonに、意図しないタスク定義が書き込まれていないか

いずれのファイルも、更新日時が自分の作業タイミングと一致しているかを併せて確認すると手掛かりになる。Kiro未導入の環境であれば、この脆弱性の対象外だ。

影響範囲を出典別に整理すると、次のようになる。同じ「Kiro」でも、どの報告を基準にするかで判定が変わりうる点に注意してほしい。

この表からもわかる通り、agentic IDE RCEと呼べる本事案は「単一の脆弱性番号に対して単一の修正版が存在する」という一般的なCVEの構図に収まりきらない。読者が自分の環境を判定する際は、AWS公式の「0.11以上」を最低ラインとしつつ、第三者調査が指摘するmcp.json固有の経路についても個別に目視確認しておくのが実務的な対応になる。

2つの報告系統を混同しない：AWS公式と第三者調査の食い違い

CVE-2026-10591を追ううえで最も注意すべき点は、一次ソースが2つの系統に分かれ、バージョン番号も対象OSも公開時期も一致しないことだ。CLAUDE.mdの方針にならい、本記事はこの2系統を無理に1つの物語へ統合しない。

系統Aは、AWS公式のセキュリティ速報という一次情報であり、CVE番号・影響版・修正版を明確に紐づけている。一方で系統Bは、Kodem SecurityやIntezer Researchといった第三者セキュリティ企業が7月に発表した技術ブログ群で、mcp.jsonという設定ファイル固有の書き込み経路を詳しく解説している点に強みがある。ただし影響版・修正版の記述はブログごとに異なり、AWS公式の「0.11」という単一の数字には収束していない。

さらに、Embrace The Red（Johann Rehberger氏）が2025年のKiroリリース初日の時点で、同種のmcp.json書き込み手口を実演していたという歴史的経緯も、系統Bの一部の記事で言及されている。この事実は、今回のCVE-2026-10591が「新規に発見された」欠陥というより、「以前から指摘されていた設計上の弱点が、あらためて公式CVEとして扱われた」側面を持つことを示唆する。ただし、2025年の実演と今回のCVEが技術的に完全に同一の経路かどうかまでは、本記事の調査範囲では確認できていない。

なぜMCP設定ファイルが狙われるのか：エージェントIDEの信頼境界

Kiroのようなagentic IDEは、Model Context Protocol（MCP）を通じて外部ツール・外部サーバーと接続する。接続先の一覧は~/.kiro/settings/mcp.jsonのような設定ファイルに書かれており、通常はユーザー自身が編集して「このMCPサーバーを信頼する」と明示的に登録する。

ところが今回の脆弱性では、エージェント自身が持つファイル書き込み権限を悪用し、ユーザーの承認を経ずにこの設定ファイルや.vscode/tasks.jsonのような実行系ファイルを書き換えられてしまう。これは「エージェントが読み込んだコンテンツ（Webページの隠しテキストなど）に埋め込まれた指示に従って、エージェント自身が信頼境界を書き換える」という、プロンプトインジェクションからRCEへ至る典型的な経路だ。

この設計上の弱点は、Kiro固有の問題ではない。エージェントに「ファイルを書く」権限を与える以上、書き込み先のパスをどこまで制限するかは、agentic IDE全般が向き合う課題になっている。プロンプトインジェクション IDEという括りで見れば、悪意あるコンテンツを読み込ませるだけでツール呼び出しを乗っ取る手口自体は目新しくないが、その到達点が「設定ファイルの書き換え」から「フォルダを開くだけの自動実行」まで直結してしまう点に、今回の事案の重大さがある。

類似事例との比較：エージェントが自分の信頼境界を壊す系統

当サイトはこれまでにも、AIコーディング支援ツールが自分自身の信頼境界を壊してしまう系統の脆弱性を扱ってきた。それぞれ対象製品・攻撃経路は異なるが、根底にある構図は共通している。

GhostApproval・SymJackはsymlink（シンボリックリンク）を悪用した承認バイパス、Cursor DuneSlideはゼロクリックのプロンプトインジェクションが起点であり、いずれもAWS Kiroとは別製品・別経路だ。ただし「エージェント自身に、ユーザーの承認なしで信頼境界（設定ファイルや実行対象パス）を書き換えさせる」という設計思想上の弱点は、3つの事例に共通して現れている。

AWSが提供する別のMCP関連製品では、AWS MCPサーバーのfail-open脆弱性CVE-2026-16584も報告済みだ。こちらはセキュリティポリシーの判定が起動時の初期化失敗で無効化されるという別種の欠陥で、対象製品（awslabs.aws-api-mcp-server）も攻撃経路もCVE-2026-10591とは異なるが、「AWS製のMCP関連ツールで、防御機構が意図せず素通りする」という点で並べて見る価値がある。

3つの事例に共通するのは、いずれも脆弱性そのものが目新しい攻撃技術（ゼロデイのメモリ破壊やサイドチャネル）ではなく、「エージェントに与えた権限の境界線をどこに引くか」という設計判断のミスである点だ。ファイル書き込み・symlink追従・セキュリティポリシーの起動時読み込みは、いずれも単体では正当な機能だが、失敗時・想定外入力時にどちらへ倒れるか（fail-openかfail-closedか）の検討が抜け落ちていた。agentic IDEを選定・運用する側は、個別のCVEを追うだけでなく、この種の設計判断がベンダーごとにどう扱われているかを継続的に見ておく必要がある。

対策とアップデートの進め方

現時点で確実なのは、AWS公式が示す0.11以上へのアップデートだ。第三者調査が指摘する0.11.34・0.11.130という数字は、mcp.json固有の経路に対する保護強化を指している可能性があるが、本記事の調査範囲ではこの粒度の違いがAWS公式の「0.11」とどう対応するのか確認できていない。心配な場合は、入手可能な最新版へ更新するのが最も安全な対応になる。

・アップデート：Kiroを最新版に更新する（AWS公式は0.11以上、第三者調査は0.11.34/0.11.130以上を目安に挙げているが数値の対応関係は未確認）
・設定ファイルの点検：~/.kiro/settings/mcp.jsonと.vscode/tasks.jsonに見慣れない項目が無いか、既存プロジェクトも含めて確認する
・信頼できないコンテンツの取り扱い：出所不明のWebページやリポジトリをKiroのエージェントに読み込ませる際は、実行前に差分を確認する運用を検討する

チームでKiroを導入している場合は、個人の端末だけでなくCI環境・共有の開発コンテナでも同様の点検が要る。特にリポジトリを複数人で共有している場合、.vscode/tasks.jsonはGitで追跡対象になっていることが多く、悪意ある書き換えがコミット履歴に残らない形で持ち込まれていないかを確認する価値がある。書き込み日時がリポジトリの通常のコミット・プッシュのタイミングと一致しない場合は、ローカルでのみ改変された可能性を疑ってよい。

まとめ：AWS Kiro 脆弱性CVE-2026-10591から読み取れること

AWS Kiro 脆弱性CVE-2026-10591は、agentic IDEが持つ「ファイルを書き込む」権限の制御不足が、リモート未認証のRCEへ直結した事例だ。AWS公式は影響版0.11未満・修正版0.11と明記する一方、7月の第三者調査はmcp.json固有の経路について異なるバージョン番号を報告しており、両者は現時点で完全には一致していない。

読者自身の環境でKiroを使っている場合は、まずバージョンを確認し、設定ファイルに見慣れない項目が無いかを点検してから、最新版へのアップデートを検討してほしい。AWS公式の一次情報と第三者調査のどちらか一方だけを読むと、影響範囲やバージョンの判断を誤りかねない。両方に目を通したうえで、自分の環境に合わせた最も保守的な基準（=より古いバージョンを「要対応」とみなす基準）で判断するのが安全だ。

参照ソース

・CVE-2026-10591 Security Bulletin（AWS公式） — CVE一次情報・影響版と修正版0.11
・NVD - CVE-2026-10591 — CVE公式データベース
・AWS Kiro RCE: Prompt Injection to Code Execution（Kodem Security） — mcp.json経路の技術解説
・When the AI Edits Its Own Trust Boundary（Intezer Research） — 第三者調査による技術詳細