BadHost: falha no Starlette (CVE-2026-48710) expõe agentes de IA e servidores MCP (maio de 2026)

O que aconteceu

Em maio de 2026, foi divulgada a CVE-2026-48710, apelidada de BadHost, uma falha crítica de bypass de autenticação no Starlette, o framework Python que é a base do FastAPI. A correção saiu na versão Starlette 1.0.1. A falha foi encontrada pela X41 D-Sec numa auditoria patrocinada pela OSTIF, e o caso foi noticiado pela Ars Technica.

Por que é grave: o Starlette tem cerca de 325 milhões de downloads por semana e está por trás de boa parte da infraestrutura de IA em Python: vLLM, LiteLLM, servidores MCP (que conectam agentes de IA a ferramentas e bancos de dados), Google ADK-Python, Ray Serve, BentoML e painéis de agentes.

Como funciona

O Starlette monta request.url juntando o cabeçalho Host com o caminho da requisição, sem validar o Host. Um atacante manda algo como Host: example.com/health?x=:

• o roteador entrega a requisição ao caminho real (por exemplo, /admin);
• mas o middleware de autenticação enxerga o caminho "envenenado" (/health, que é público) e deixa passar.

Resultado: qualquer regra de segurança baseada em caminho, feita no middleware, pode ser burlada com um único caractere no cabeçalho.

Os servidores MCP são alvos especialmente fáceis, porque a especificação MCP exige endpoints públicos de descoberta OAuth, o que ajuda a encontrá-los. Na varredura da X41, sistemas vulneráveis expunham dados de ensaios clínicos, verificação de identidade, caixas de e-mail inteiras, dados de RH e acesso SSH a equipamentos industriais.

Segundo a reportagem, nem o Claude Mythos encontrou a falha no Project Glasswing, porque ela nasce da combinação de três camadas que, isoladas, funcionam corretamente.

O que fazer

1. Atualizar o Starlette para 1.0.1 ou superior (e o FastAPI que o traz).
2. Se não der agora: trocar request.url.path por request.scope["path"] em todo middleware ou dependência que toma decisão de segurança.
3. Colocar um proxy reverso (nginx, Caddy, Traefik, HAProxy) que valide o Host antes de repassar.
4. Auditar imagens de contêiner e ambientes virtuais, que podem ter versões antigas fixadas.
5. Há um scanner gratuito em badhost.org.

Lição

A infraestrutura de agentes de IA cresceu rápido demais e herdou suposições de segurança que ninguém revisou. Se você roda um servidor MCP ou um proxy de LLM com FastAPI, trate isso como prioridade.

Fontes

• The Agent Report (28/05/2026): https://the-agent-report.com/2026/05/badhost-starlette-cve-critical-ai-agent-vulnerability/

---

Roda agentes de IA ou servidores MCP na sua empresa? A KGA IT revisa a segurança gratuitamente: kga-it.com.