Lỗ hổng thiếu xác thực trong công cụ Jupyter MCP của JetBrains PyCharm cho phép thực thi mã cục bộ

Trong JetBrains PyCharm trước phiên bản 2026.2.1, có thể thực thi mã thông qua các công cụ Jupyter MCP không yêu cầu xác thực

• JetBrains PyCharm: bị ảnh hưởng từ 0 với cận trên là nhỏ hơn 2026.2.1 theo semver. Dữ liệu sản phẩm đặt trạng thái mặc định ngoài phạm vi bị ảnh hưởng được khai báo là không bị ảnh hưởng.
• Bản ghi không nêu thêm nhánh, edition, package hoặc kiểu triển khai PyCharm nào. Trạng thái của các nhánh song song hoặc gói được đóng riêng ngoài phạm vi trên chưa được xác minh độc lập.

Lỗ hổng được phân loại là CWE-306, thiếu xác thực cho một chức năng quan trọng. Thành phần bị ảnh hưởng là bộ công cụ Jupyter MCP được cung cấp qua MCP Server tích hợp của PyCharm; tài liệu JetBrains mô tả plugin này được tích hợp và bật mặc định, đồng thời liệt kê các công cụ notebook Jupyter trong số các công cụ khả dụng. Ở mức khái quát, một lời gọi không xác thực do kẻ tấn công kiểm soát tới công cụ Jupyter MCP có thể tiếp cận thao tác có khả năng thực thi mã. Bản ghi mô tả đường tấn công là cục bộ, không cần đặc quyền trước hoặc tương tác của người dùng, và có độ phức tạp thấp. Bản ghi không nêu công cụ cụ thể, định dạng yêu cầu, giao vận, giao diện lắng nghe, ranh giới tiến trình hay cơ chế thực thi, nên các chi tiết triển khai này vẫn chưa rõ. Phạm vi được mô tả là không thay đổi, nghĩa là tác động được ghi nhận nằm trong miền quyền của tiến trình PyCharm bị ảnh hưởng, chưa có bằng chứng về việc vượt sang miền bảo mật khác.

Đặc tính tấn công được cung cấp là cục bộ: kẻ tấn công phải tiếp cận công cụ PyCharm bị ảnh hưởng trên cùng máy hoặc trong ngữ cảnh thực thi cục bộ; bản ghi không xác lập đường tấn công qua mạng từ xa. Việc khai thác không cần đặc quyền đã xác thực hoặc tương tác của người dùng, và độ phức tạp được đánh giá là thấp. Bản ghi chuẩn hóa không đánh dấu có mã khai thác công khai và không đánh dấu lỗ hổng là đã bị khai thác. Phần bổ sung của CISA ghi nhận trạng thái khai thác là không có và khả năng tự động hóa là không, trong phạm vi đánh giá của phần bổ sung đó. Các trạng thái này không chứng minh rằng chưa từng có lạm dụng ngoài phạm vi báo cáo.

Khai thác có thể dẫn đến thực thi mã trong ngữ cảnh bảo mật mà PyCharm được cấp. Điều này có thể ảnh hưởng đến tính bí mật, toàn vẹn và sẵn sàng của dự án cục bộ cùng các tài nguyên mà tiến trình có thể truy cập, bao gồm khả năng làm lộ, sửa đổi hoặc xóa dữ liệu. Bản ghi không xác lập rằng lỗ hổng cấp quyền quản trị hệ điều hành, thoát sandbox hoặc truy cập các máy khác, vì vậy không nên mặc định các kết quả đó. Về vận hành, máy trạm lập trình viên bị xâm phạm có thể làm gián đoạn build, phân tích hoặc notebook và cần được rà soát mã nguồn cùng thông tin xác thực có thể đã bị tiến trình truy cập.

Thực thi mã thành công có thể cho phép kẻ tấn công hoạt động với các quyền của tiến trình PyCharm. Hậu quả có thể gồm đọc hoặc thay đổi mã nguồn dự án, notebook cục bộ, cấu hình build hoặc dữ liệu khác mà tiến trình đó truy cập được, cũng như làm gián đoạn công việc phát triển. Bản ghi cho thấy có thể ảnh hưởng nghiêm trọng đến tính bí mật, toàn vẹn và sẵn sàng, nhưng không xác nhận việc đánh cắp dữ liệu, cơ chế duy trì truy cập, leo thang đặc quyền hay xâm nhập máy chủ khác. Phạm vi cục bộ trong bản ghi giới hạn tuyên bố về mức phơi nhiễm vào các hệ thống nơi kẻ tấn công có thể tiếp cận công cụ cục bộ bị ảnh hưởng.

1. Nâng cấp các bản cài JetBrains PyCharm bị ảnh hưởng lên 2026.2.1, là cận trên chính xác trong dữ liệu ảnh hưởng của CNA. Không suy ra phạm vi bao phủ cho các nhánh sau đó hoặc nhánh song song chưa được liệt kê riêng.
2. Lập danh mục các máy trạm có PyCharm, kiểm tra plugin MCP Server và các công cụ Jupyter có được bật hay không, rồi ưu tiên các hệ thống nằm trong phạm vi bị ảnh hưởng.
3. Nếu chưa thể cập nhật ngay, tạm thời tắt plugin MCP Server hoặc thiết lập MCP Server khi phù hợp với vận hành, đồng thời hạn chế truy cập cục bộ vào máy trạm. Đây là biện pháp phòng ngừa dựa trên các tùy chọn được tài liệu hóa, không phải biện pháp thay thế đã được nhà cung cấp xác nhận cho bản cập nhật.

1. Liệt kê các bản cài PyCharm và đối chiếu từng bản với phạm vi bị ảnh hưởng đã nêu; ghi lại phiên bản semver chính xác và ngữ cảnh triển khai.
2. Kiểm tra mục Plugins của PyCharm để xác định plugin MCP Server, và mục Settings | Tools | MCP Server để xem server có được bật hay không; ghi nhận việc sử dụng công cụ notebook Jupyter. Các bước này xác định điều kiện phơi nhiễm, không chứng minh đã bị xâm nhập.
3. Rà soát telemetry trên endpoint quanh thời điểm đáng ngờ để tìm việc khởi chạy tiến trình PyCharm, tiến trình con bất thường, truy cập hoặc sửa đổi bất thường đối với tệp dự án hoặc notebook, và tương tác cục bộ bất thường với MCP service. Đây là các hướng rà soát phòng ngừa, không phải indicator do vendor công bố.
4. Nếu phát hiện hoạt động đáng ngờ, so sánh nội dung dự án và notebook với bản tin cậy, đồng thời điều tra tiến trình và thông tin xác thực mà ngữ cảnh PyCharm có thể đã truy cập.
5. Bản ghi không cung cấp tên sự kiện log, cổng, đường dẫn tệp, payload hoặc IOC; không thấy telemetry phù hợp không chứng minh hệ thống không bị phơi nhiễm hoặc xâm nhập.