Kurzfassung

Für terraform-mcp-server gibt es mit CVE-2026-16498 eine kritische Schwachstelle. Betroffen sind Versionen vor 1.1.0. Im stateless-Transportmodus von streamable HTTP kann ein Token eines Nutzers für Tool-Aufrufe im Kontext eines späteren Nutzers wiederverwendet werden.

Das ist kein theoretisches Randproblem. Wer den Dienst mandantenfähig oder für mehrere Anwender betreibt, muss das als akutes Trennungsproblem sehen. Die klare Ansage des Herstellers ist simpel: auf 1.1.0 aktualisieren.

Was ist passiert?

Die Schwachstelle steckt in der Art, wie terraform-mcp-server im streamable-HTTP-Transport ohne Sitzungszustand mit Anmelde- oder Zugriffstokens umgeht. Unter bestimmten Bedingungen bleibt ein Terraform-Token nicht sauber an den ursprünglichen Nutzer gebunden. Ein nachfolgender Nutzer kann dadurch Tool-Aufrufe auslösen, die mit fremden Rechten laufen.

Genau das macht den Fehler kritisch. Es geht nicht um einen Absturz, sondern um eine cross-tenant credential reuse. Aus Sicht eines Administrators ist das ein Bruch der Mandantentrennung. Wer mehrere Nutzer auf derselben Instanz bedient, hat damit ein Problem, das sich direkt auf Berechtigungen und Änderungsoperationen auswirken kann.

Technische Details

CVE-2026-16498 betrifft den streamable-HTTP stateless transport mode von terraform-mcp-server. Die Schwachstelle erlaubt laut NVD, dass das Token eines Nutzers für nachfolgende Nutzer wiederverwendet werden kann, um Tool Calls im Namen dieser Nutzer auszuführen. Die genaue Ausnutzung hängt also an der Transport- und Sitzungslogik, nicht an einem klassischen Buffer Overflow oder einer Codeausführung im engeren Sinn.

Der Hersteller hat den Fehler in terraform-mcp-server 1.1.0 behoben. Ob ältere Neben- oder Patch-Versionen ebenfalls betroffen sind, nennt die Quelle nicht. Ebenso offen bleibt, ob nur bestimmte Deployments mit Streamable HTTP angreifbar sind oder ob andere Betriebsarten sauber getrennt bleiben.

Wer ist betroffen?

Betroffen sind alle Betreiber von terraform-mcp-server vor Version 1.1.0, sofern sie den stateless streamable-HTTP-Modus einsetzen. Für Einzelinstallationen mit nur einem Nutzer dürfte das Risiko geringer sein. Kritisch wird es dort, wo mehrere Personen, Teams oder Mandanten dieselbe Instanz nutzen.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn Terraform über MCP in interne Plattformen, Automationsstrecken oder Self-Service-Umgebungen eingebunden ist. Wer darüber Infrastrukturaktionen ausführt, sollte die Schwachstelle ernst nehmen. Ein fremdes Token in der falschen Session kann Änderungen an Cloud-Ressourcen, Deployments oder Konfigurationsständen auslösen.

Empfohlene Maßnahmen

Die Priorität ist klar: terraform-mcp-server auf 1.1.0 oder höher aktualisieren. Wer den Dienst produktiv betreibt, sollte das zeitnah einplanen und nicht auf den nächsten regulären Wartungstermin verschieben. Bei solchen Trennungsfehlern hilft Abwarten selten.

Bis zum Patch sollten Betreiber den Einsatz des stateless streamable-HTTP-Modus prüfen und, wenn möglich, vorübergehend einschränken. In mandantenfähigen Umgebungen gehört außerdem ein kurzer Funktionstest dazu: Session-Wechsel, Nutzertrennung und Token-Bindung kontrollieren. Wer Logs und Audit-Trails sauber hat, kann nachsehen, ob Tool-Aufrufe ungewöhnlich zwischen Benutzern wechseln. Danach sollte die Instanz neu gestartet und der Zugriff auf das Nötigste begrenzt werden.

Einschätzung von CyberSecurity-News.de

Die Schwachstelle ist fachlich unschön und operativ relevant. Sie trifft genau einen Punkt, an dem Sicherheitswerkzeuge besonders empfindlich sind: die saubere Trennung von Rechten zwischen Nutzern. Dass ein Token in einer Folge-Session weiterverwendet werden kann, ist in einer Automationsplattform kein Bagatellfehler.

Die Informationslage ist allerdings noch dünn. NVD nennt den Kern des Problems, aber keine Details zu Ausnutzung, Verbreitung oder realen Angriffen. Für die Bewertung reicht das dennoch: Wer terraform-mcp-server produktiv mit mehreren Nutzern einsetzt, sollte jetzt handeln. Für reine Testinstanzen mit Einzelzugriff ist die Lage weniger kritisch, aber auch dort gehört das Update auf die Liste.

Fazit

CVE-2026-16498 ist ein kritischer Mandantentrennungsfehler in terraform-mcp-server vor 1.1.0. Das Problem betrifft vor allem Umgebungen mit mehreren Nutzern oder Teams. Die saubere Antwort ist ein Update auf 1.1.0, plus kurzer Blick auf Session- und Zugriffskonzepte im Betrieb.

Wer Terraform-Workflows über MCP exponiert, sollte das Thema heute prüfen. Nicht später.

Quellenangabe

NVD: CVE-2026-16498