MCP官方servers发布v2.2.0安全说明，澄清自身不捆绑CA证书，依赖运行时校验
MCP 官方 servers 仓库于 10 月 28 日发布 v2.2.0，主体是一条安全说明：eMudhra 在 10 月 20 日披露其 8 张中间 CA 证书的私钥可从公开证书中恢复；Node.js 于 10 月 21 日发布安全更新，更换捆绑的 CA 证书并修复数个无关的高危运行时 CVE；Python 的 certifi 2026.10.23 移除了两个 eMudhra 根证书。这批参考服务器本身不自带 CA 证书：TypeScript 服务器依赖 Node.js 运行时做证书校验（其中仅 server-everything 发起出站 HTTPS 请求，filesystem、memory、sequential-thinking 不联网），mcp-server-fetch 通过 httpx 依赖 certifi 校验，mcp-server-git 与 mcp-server-time 同样不联网。需要动手的主要是两类用户：用 npx 跑 TypeScript 服务器的应确认 Node.js 为 24.22.1 或 26.12.1 及以上，且发布特别指出这些包的 engines 字段接受任意 Node.js 24，npm 不会对旧的未修复运行时发出告警；在 10 月 23 日之前创建的环境中运行 mcp-server-fetch 的，需用 uvx --refresh 或 pip install -U certifi 刷新 certifi。
rss · MCP Servers Releases · 10月28日 20:57
「为什么是现在」 事件链条已经落地：eMudhra 的披露、Node.js 与 certifi 的更新均已在 10 月下旬发生，而 v2.2.0 的结论是大多数参考服务器不受直接影响，用户升级运行时即可。真正值得留意的间接风险是，engines 字段不会拦截旧版 Node.js，跑 MCP 服务器的人可能在没有任何告警的情况下继续使用未修复的运行时，而自查成本只是一条 node --version。
「内容切入」 可做角度：把它与 Node.js、certifi 的十月安全更新合并成一篇面向 MCP 参考服务器使用者的『更新自查清单』——先按“哪些服务器根本不联网、哪些依赖 Node.js 运行时校验、哪些依赖 certifi”分层说明影响面，再给出两条具体自查命令（node --version 确认 24.22.1 或 26.12.1 以上，uvx --refresh mcp-server-fetch 刷新 certifi），不渲染危害、不 extrapolate 影响范围。
做AI项目，先看AI雷达 - AiRadar.com.cn · 全部AI快讯 →