サイバーセキュリティ日報｜2026年11月1日：MCP接続先の移行と影響版の訂正

Smithery接続管理の終了予定日が到来。Cursor拡張は2.1.312も調査対象へ。予定・実停止・確認時刻を分けて判断する。

対象：2026年10月31日08:00〜11月1日08:00（日本時間）。重要な新規発表は調査範囲で少なく、移行期限の到来1件と前回記事の訂正1件を扱います。いずれも本日発生した脆弱性として数えません。

## 1．Smithery：MCP接続管理の終了予定日が到来

公式案内は10月31日にMCP Proxyとmanaged identityを終了し、非プロキシ型の公開レジストリは継続するとしています。対象はrun.tools／server.smithery.aiのURL、API・Connect・Toolbox、アカウント・APIキー、CLI・SDK。告知の正確な公開日は確認できず、今回の差分は予定日の到来です。全接続の停止完了を独立に検証したわけではありません。

設計への影響：レジストリが閲覧可能でも、既存の接続・認証管理が継続するとは限りません。設定と秘密管理の参照先を棚卸しし、提供元の公式MCP URLへ移行します。単なるURL置換では、OAuthの発行者・audience・scope、利用者との対応、保存トークンを引き継げません。各提供元の手順で再認証し、旧キーの扱いと失効を確認してください。これらは当方の実装上の確認事項で、移行済みを保証するものではありません。

確認補足：締切後の11月1日08:11更新ステータスページはAPI・Gatewayを稼働表示しています。予定日の記載ともに、個々の接続の実動作を証明するものとは扱いません。一次情報：[公式終了案内](https://smithery.ai/future)／[ステータス](https://status.smithery.ai/)。

## 2．訂正：Cursorの調査対象は2.1.313だけではない

前回は2.1.313を記載しましたが、今回確認した公式告知は改ざんされたAnthropic.claude-code 2.1.312／2.1.313のWindows・macOSパッケージを挙げています。告知初出は10月29日で、対象追加の正確な時刻は未確認。今日新たに配布されたと解釈せず、前回記事にも訂正を付します。

2.1.313だけを検索した端末調査を広げ、配布元・OS・パッケージハッシュ・実行痕跡を照合してください。同じ版番号の全配布物を感染扱いせず、拡張更新・削除だけで復旧完了とも判断しません。無断鍵・永続化があれば隔離し、除去・再構築と資格情報更新を評価します。一次情報：[Cursor公式告知](https://cursor.com/blog/claude-code-extension-security-notice)。

## 判断

今すぐ対応：Smithery経由の接続棚卸しとCursor調査範囲の再確認。検証候補：移行後の認証失敗時拒否、権限縮小、ツール実行と失効。継続監視：Wasmtime更新・Brotli稼働版の確認を継続。TEEや認証標準の重要な新規変更は今回確認できず、自環境の対応完了も未確認です。