AI IDE「Windsurf」に、Windsurf 脆弱性CVE-2026-30615として報告されたリモートコード実行（RCE）の欠陥がある。セキュリティ企業OX Securityが主要AI IDE5製品を横断調査した「MCP Supply Chain Advisory」の中で見つかったもので、攻撃者が用意した悪意あるHTMLコンテンツをWindsurfのエージェント機能が処理する際、埋め込まれた指示を正規のユーザー指示と区別できずに実行してしまう。その結果、ユーザーの操作を一切介さずローカルのMCP設定ファイルが書き換わり、悪意あるMCP STDIOサーバーが自動登録されてコマンド実行に至る。

この調査で最も注目すべき点は、比較対象になった他4製品（Claude Code・GitHub Copilot・Cursor・Gemini-CLI）がいずれもMCP設定ファイルの編集に最低1回のユーザー許可操作を要求していたのに対し、Windsurfだけがその許可プロセスを持たない「ゼロクリック RCE」の事例だったことだ。単体のCVE解説ではなく、この5製品比較の結果を軸に記事を組み立てる。

Windsurf CVE-2026-30615の攻撃フロー：①攻撃者が悪意あるHTMLコンテンツを用意 ②Windsurfのエージェント機能Cascadeがそれを処理し埋め込み指示を実行 ③ユーザー許可なしにローカルMCP設定ファイルが自動的に書き換わる ④攻撃者のMCP STDIOサーバーが自動登録されコマンド実行に至る
CVE-2026-30615の攻撃フロー。出典: OX Security「MCP Supply Chain Advisory」の記述をもとに作図
30秒でわかる CVE-2026-30615（2026年8月時点）
  • ・対象：Windsurf 1.9544.26（AI IDE）。NVD description・GitHub Advisory GHSA-wj2m-jvpr-64cq に基づく。
  • ・何が起きた：悪意あるHTMLに埋め込まれた指示をエージェントが実行し、ユーザー許可なしでローカルMCP設定ファイルが書き換わり、攻撃者のMCP STDIOサーバーが自動登録されてコマンド実行に至る。
  • ・CVSS v3.1：8.0（High）／AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H（NVD実測・CISA-ADPによる評価）。CVSS v4はNVDで未評価。
  • ・CWE：CWE-77（コマンドインジェクション）。
  • ・5製品比較での位置づけ：Claude Code・GitHub Copilot・Cursor・Gemini-CLIは全てMCP設定変更に許可操作が必要。Windsurfのみゼロクリック。
  • ・今どうする：対象製品は既にDevin Desktopへ置き換わり存在しない。読者は自分の現行AI IDEでMCP設定変更に許可が要るかを確認する。

エージェントIDE・開発者ツールを狙うサプライチェーン攻撃の全体像は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 をご覧ください。

Windsurf 脆弱性CVE-2026-30615とは：ゼロクリックMCPハイジャックの正体

CVE-2026-30615は、NVDの公開日が2026-04-15、最終更新が2026-06-17のCVEだ。日本語での解説記事は本記事執筆時点で0件（WebSearchでCVE-2026-30615 site:zenn.dev OR site:qiita.com OR site:itmedia.co.jp OR site:gigazine.netを検索したが無関係な他CVEのみヒット）のため、速報ではなく「日本語初解説」として書く。

発見・報告元はセキュリティ企業OX Securityで、Windsurf・Claude Code・GitHub Copilot・Cursor・Gemini-CLIという主要AI IDE5製品を横断調査した「MCP Supply Chain Advisory」というレポートの一環として見つかった。GitHub Advisory（GHSA-wj2m-jvpr-64cq）はCWE-77（Improper Neutralization of Special Elements used in a Command）に分類しており、CVSS v3.1のスコアはNVD実測で8.0（High）、ベクターはCVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H（CISA-ADPによる評価）。CVSS v4.0はNVDでは “Not yet assessed”（未評価）のままで、v4スコアを断定的に書けない状態が続いている。

技術的な仕組みは次の通りだ。

・攻撃者が制御下にあるHTMLコンテンツ（Web閲覧結果やドキュメント内容としてAI機能に渡されるHTML等）を用意する
・Windsurfのエージェント機能がそのHTMLを処理する際、埋め込まれた悪意ある指示を正規のユーザー指示と区別できずに実行してしまう
・その結果、ローカルのMCP設定ファイルが無断で書き換えられ、攻撃者が用意した悪意あるMCP STDIOサーバーが自動登録される
・登録されたMCPサーバーはSTDIO経由でコマンドを実行できるため、追加のユーザー操作なしに任意コマンド実行へ至る

読者の3つの問いへの答え
① この脆弱性は結局何をされるのか：悪意あるコンテンツを読み込ませるだけで、ローカルのMCP設定が書き換わり任意コマンドが実行される。 ② 何を解決する記事か：単体のCVE速報ではなく、5製品比較の中でWindsurfだけがゼロクリックだった理由と、対象製品が既に廃止された今どう向き合うべきかを整理する。 ③ この記事を読んで何ができるようになるか：自分が使っているAI IDE・エディタがMCP設定変更にユーザー許可を要求する設計かどうかを、自分の手で確認できるようになる。

5製品比較：なぜWindsurf 脆弱性だけが「ゼロクリックRCE」だったのか

OX Securityの調査で最も価値があるのは、単体のCVE報告ではなく、主要AI IDE5製品を同じ基準で横並び比較した点だ。MCP設定ファイルの編集に、ユーザーの許可操作を何らかの形で要求するかどうかが分岐点になっている。

製品 MCP設定変更に必要な操作 ゼロクリックか
Windsurf 1.9544.26 不要（自動書き換え） はい（CVE-2026-30615）
Claude Code ユーザーの許可操作が必要 いいえ
GitHub Copilot ユーザーの許可操作が必要 いいえ
Cursor ユーザーの許可操作が必要 いいえ
Gemini-CLI ユーザーの許可操作が必要 いいえ
MCP設定変更にユーザー許可が要るかの5製品比較図。Windsurf 1.9544.26だけが不要でゼロクリック（CVE-2026-30615）、Claude Code・GitHub Copilot・Cursor・Gemini-CLIはいずれも許可操作が必要
5製品比較。出典: OX Security「MCP Supply Chain Advisory」

比較対象4製品はいずれも「MCP JSON設定ファイルの編集には最低1回のユーザー許可操作を要求する」設計のため、OX Securityの分類上は同種の脆弱性として扱われなかった。Windsurfのみがこの許可プロセスを持たなかった、というのがこのCVEの核心だ。同じ「AIエージェントがローカル設定ファイルを書き換えられる」というリスクを抱える製品群の中でも、許可プロンプトという1段の防御層があるかどうかで、実際に悪用可能かどうかが分かれた事例と言える。

「MCP設定を自動で書き換えられる」という設計自体が危険なのではなく、その書き換えにユーザーの承認を挟むかどうかが、実際の被害可能性を分ける。
flowchart LR A["攻撃者が悪意あるHTMLを用意
(Web閲覧結果等)"] --> B["AI IDEのエージェント機能が
HTMLを処理"] B --> C{"MCP設定変更に
ユーザー許可が必要か"} C -- "はい（Claude Code等4製品）" --> D["許可プロンプトで
攻撃を検知・拒否できる"] C -- "いいえ（Windsurf）" --> E["MCP設定を無断で書き換え
悪意あるSTDIOサーバー登録"] E --> F["追加操作なしに
コマンド実行（RCE）"]

上記の5製品比較はOX SecurityブログのWebSearch要約経由で把握した内容である。ブログ本文の一次確認は本記事執筆時点で未実施のため、詳細な検証手順や脆弱性有無の判定基準まではブログ原文を直接参照してほしい。

対象製品は既に存在しない：Devin Desktopへのリブランド

このCVEを理解する上で欠かせないのが、対象製品Windsurf自体が既に別プロダクトへ置き換わっているという事実だ。

Windsurfは2026-06-02、開発元のCognition社によって「Devin Desktop」へリブランドされた。脆弱性のあったAI機能「Cascade」も2026-07-01付けで、別実装の「Devin Local」（Rust実装）に置き換えられて廃止されている（複数の英語メディア記事で確認。一次ソースであるCognition/Devin公式ブログの当該アナウンス記事は本記事執筆時点で個別確認できていない）。

つまり、「今すぐWindsurfにパッチを当ててください」という速報型の呼びかけは成立しない。旧Windsurfへのパッチ適用という選択肢自体が、現在は存在しない可能性が高いためだ。パッチ状況についても、「1.9544.26より新しいビルドへの更新」という記載が二次情報（SentinelOne等）にあるが、公式パッチノートでの一次確認はできていない。在野悪用の有無についても、本記事が参照した情報源では言及がなく、断定は避ける。

項目 内容
NVD公開日 2026-04-15
NVD最終更新日 2026-06-17
Windsurf → Devin Desktop リブランド 2026-06-02（Cognition社）
Cascade → Devin Local 置き換え 2026-07-01
日本語初解説（本記事） 2026-08-20

この時系列（タイムライン）が示す通り、CVE公開から本記事執筆までに4ヶ月以上が経過しており、対象製品自体も既に世代交代している。だからこそ本記事は「今すぐの対策」ではなく、「ローカルMCP設定を自動で書き換えられる設計は何が危険か」という攻撃パターンの理解に主眼を置く。この一連の流れは、悪意あるコンテンツを起点にツール呼び出しを乗っ取る「MCP プロンプトインジェクション」の一種として扱われている。

断定できていない点の整理
・CVSS v4.0スコア：NVDでは "Not yet assessed"（未評価）
・公式パッチノートでの修正確認：二次情報のみで一次確認は未実施
・在野悪用の有無：参照した情報源に記載なし
・Devin Desktop公式ブログでのリブランド発表日時：二次情報（英語メディア）ベースで、公式ブログ本文は未確認

自分の環境でMCP設定を点検する

対象のWindsurfバイナリは既に別プロダクトへ置き換わっているため、脆弱なWindsurf自体での攻撃再現はしない。代わりに、読者が自分の現行AI IDE・エディタでMCP設定を点検するための確認コマンドを示す。ツールによってMCP設定ファイルの場所・コマンドは異なるため、以下は一例として扱ってほしい。

# 自分のMCP設定ファイルがどこにあるか・最近更新されていないかを確認する（例。ツールごとにパスは異なる）
find ~/.claude ~/.cursor ~/.codeium ~/.config -iname "*mcp*.json" -newermt "7 days ago" 2>/dev/null

# 意図しないMCPサーバーが登録されていないか目視確認する（Claude Codeの例）
claude mcp list 2>/dev/null

実際にこの2つのコマンドを手元の環境（Claude Code CLI導入済み）で実行した結果は次の通りだった。

$ claude mcp list
No MCP servers configured. Use `claude mcp add` to add a server.

findコマンドの方は該当ファイルが0件（直近7日以内に更新されたMCP設定ファイルなし）だった。この2つのコマンドの出力そのものは環境ごとに異なるが、「見慣れないMCPサーバーが登録されていないか」「設定ファイルの更新日時が自分の作業タイミングと一致しているか」を自分の目で確認するという手順自体は、どのAI IDEを使っていても共通して有効だ。

・確認1：MCP設定ファイルの場所を把握しているか（ツールの公式ドキュメントで確認）
・確認2：登録されているMCPサーバーの一覧に、自分で追加した覚えのないものが無いか
・確認3：設定ファイルの更新日時が、自分が意図的に編集したタイミングと一致しているか
・確認4：MCP設定を変更する操作に、ツール側からの許可プロンプトが表示されるか（表示されない設計であれば、Windsurfと同種のリスクを抱えている可能性がある）

類似事例との比較：MCP設定の無断書き換え型RCE

当サイトはこれまでにも、AI IDEがローカルのMCP設定ファイルを無断で書き換えられてしまう系統の脆弱性を扱ってきた。それぞれ対象製品・発見経緯は異なるが、根底にある構図は共通している。

事例 対象製品 攻撃経路 ゼロクリックか
Windsurf ゼロクリックMCPハイジャック Windsurf 1.9544.26 悪意あるHTML→MCP設定を自動書き換え はい（CVE-2026-30615）
AWS Kiro MCP設定RCE AWS Kiro ファイル書き込みツールのアクセス制御不足 未認証だが操作起点は別（解説記事参照）
Cursor IDE CVE-2026-26268 Cursor IDE Gitフック経由 攻撃手法が異なる（解説記事参照）

/security/aws-kiro-cve-2026-10591-mcp-config-rce/は、本記事と同じ「MCP設定書き換え型RCE」という攻撃パターンで最も近い事例だ。ただし対象製品・発見元・報告時期はいずれも別で、AWS Kiroの場合はファイル書き込みツールのアクセス制御不足が原因だった。一方、Context7の脆弱性（/security/context7-contextcrush-vulnerability/）はMCPサーバー側（Context7というSaaS）の欠陥であり、本記事が扱うクライアント側IDEの欠陥とは主体が逆になる。個別の脆弱性としては別物だが、「AIエージェントに与えたローカル設定への書き込み権限を、どこまで・どう制限するか」という設計判断のミスという点で、これらの事例は同じ系統に属する。

まとめ：ゼロクリックMCPハイジャックから読み取れること

Windsurf 脆弱性CVE-2026-30615は、主要AI IDE5製品を横断調査した結果、Windsurfだけがユーザーの許可を介さずローカルMCP設定を書き換えられる「ゼロクリック」の事例だったという点に核心がある。対象製品自体は既にDevin Desktopへ置き換わっており、この脆弱性そのものへの直接的な対策は不要になったが、「AIエージェントにローカル設定への書き込み権限を与える場合、その変更にユーザーの許可を挟むかどうか」という設計判断は、他のAI IDE・エディタを選ぶ・使う上で今も点検する価値がある論点だ。

この記事のポイント
・Windsurf 1.9544.26は、悪意あるHTMLの指示を実行しユーザー許可なしでMCP設定を書き換えられた（CVE-2026-30615、CVSS v3.1で8.0/High）
・OX Securityの5製品比較で、Claude Code・GitHub Copilot・Cursor・Gemini-CLIは全てMCP設定変更に許可操作が必要。Windsurfのみゼロクリックだった
・対象製品Windsurfは2026-06-02にDevin Desktopへリブランドされ、脆弱なAI機能Cascadeも2026-07-01付けで廃止済み
・パッチ有無・CVSS v4・在野悪用の有無はいずれも未確認で断定しない
・読者が取るべき行動は、自分が使っている現行AI IDEでMCP設定変更に許可プロンプトが表示されるかを確認すること

読者自身が使っているAI IDE・エディタでMCPサーバーを設定している場合は、まず設定ファイルの場所を確認し、見慣れないMCPサーバーが登録されていないかを点検してほしい。そのツールがMCP設定変更に許可プロンプトを要求する設計かどうかも、今回の5製品比較を踏まえて確認しておく価値がある。

参照ソース

・NVD - CVE-2026-30615 — CVSSスコア・CWE分類・公開日を取得
・GitHub Advisory Database GHSA-wj2m-jvpr-64cq — 脆弱性の技術詳細を取得
・OX Security: MCP Supply Chain Advisory—RCE Vulnerabilities Across the AI Ecosystem — 5製品比較調査の一次情報