OWN NEWS GATHER
← 戻る
The Hacker News

AI支援ツール「OpenCode」のWindows・WSL版に遠隔コード実行の脆弱性、MCP認証処理に起因

要点

  • AIコーディング支援エージェント「OpenCode」のWindowsおよびWSL環境で、悪意あるMCPサーバー認証時にコードを実行される脆弱性が判明した。

  • セキュリティ企業のPillar Securityが報告し、深刻度スコアは10点満点中9.8（Critical）と評価されている。

  • 開発元のAnomalyはバージョン1.18.33で修正済みだが、CVE番号の申請やアドバイザリの公開は行っていない。

  • 影響を受けるバージョンは1.0.137から1.18.32で、脆弱性スキャナー等では検知されないため利用者が手動で確認する必要がある。

  • AIコーディング支援エージェント「OpenCode」のWindowsおよびWSL（Windows Subsystem for Linux：Windows上でLinux環境を実行する仕組み）向け環境において、外部サーバーへの認証を契機に任意のコードが実行される脆弱性が存在することが明らかになった。サイバーセキュリティ企業のPillar Securityが2026年10月19日に公表した。開発元である米Anomalyは2026年9月28日公開のバージョン1.18.33で本件を修正したが、CVE（共通脆弱性識別子）の申請やセキュリティアドバイザリの公開は行われていない。

認証時のURL処理に起因するコード実行の仕組み

OpenCodeは、外部ツールをAIモデルへ接続するオープン規格「MCP（Model Context Protocol）」サーバーと連携して拡張機能を追加する。今回の脆弱性は、このMCPサーバーへのサインイン（認証）処理の過程で発生する。

利用者が「opencode mcp auth」などのコマンドで認証を開始すると、接続先サーバーからOAuth（認証連携の標準仕様）の認可エンドポイントURLが返却される。WindowsおよびWSL環境のOpenCodeでは、このURLをブラウザで開く処理においてエスケープを行わずにPowerShellコマンドを組み立てていた。そのため、細工されたアドレスに含まれるPowerShellコマンドが開発者自身の権限で実行されてしまう状態になっていたという。

このコード実行はユーザーが明示的に認証操作を実行した場合にのみ発生し、サーバーを設定に追加しただけやセッションを開いただけでは動作しない。また、macOSおよびLinux環境ではシェルを経由せずにブラウザを開く実装となっているため影響を受けないことが確認されている。

攻撃条件と過去の類似事例

攻撃の成立には、開発者が登録した外部MCPサーバーを攻撃者が制御している必要がある。対象サーバーは最初から悪意を持って設置されたものに限らず、後から侵害されたサーバーやドメイン所有権が第三者に移転したサーバーでも同様のリスクが生じる。Pillar Securityはこの脆弱性の深刻度を10点満点中9.8（Critical）と評価した。

同種の脆弱性は過去にも確認されている。2025年7月にはプロキシツール「mcp-remote」で認可エンドポイントがコマンドラインに渡る類似の不具合（CVE-2025-6514）が報告されていた。また、OpenCodeがブラウザ起動に使用していたライブラリ「open」も2023年にWindowsでのコマンドインジェクションのリスクが指摘されバージョン11で修正されていたが、OpenCodeは古い版を使い続けていたという。アドレスがHTTPSであるかの検証では防げず、ライブラリの更新によって修正された。

開発元の対応とCVE未取得による影響

開発元のAnomalyは、2026年9月28日のバージョン1.18.33で本不具合への修正を適用した。しかし、該当プルリクエスト（PR #51414）はブラウザ起動コードのリファクタリングとして処理され、リリースノート等でも脆弱性には言及されていない。

Pillar Securityは2026年8月29日に非公開報告を行いCVEの取得を要請したが、Anomaly側はこれに応じなかったという。Pillar Securityへの回答によると、Anomalyはユーザーが設定する外部MCPサーバーについて、自社のセキュリティポリシー上「信頼境界の外」にあり脅威モデルの範囲外であると判断したとされる。

Anomalyは過去に別のコード実行不具合でアドバイザリを公開した実績があるが、今回はCVEが未発行であるため脆弱性スキャナーや依存関係アラートでは検知されない。そのため利用者は自身でバージョンを直接確認する必要が生じている。

被害状況と利用者に推奨される対応

Pillar Securityによると、本脆弱性が実際の攻撃で悪用された兆候は確認されておらず、侵害指標（IoC）も公開されていない。また、同時期に報告されたOpenCodeの管理コンソール侵害（APIキー流出の可能性）とは無関係の事象であると説明されている。

WindowsおよびWSL環境でOpenCodeを利用しているユーザーに対し、元記事では以下の対応が推奨されている。

  • OpenCodeをバージョン1.18.33以降へ更新する
  • 直ちに更新できない場合は、検証されていないリモートMCPサーバーを設定から削除する
  • 「opencode mcp list」コマンドを実行し、登録済みサーバーを確認する
元URL