Apa yang terjadi
Pillar Security mengungkapkan (2026-10-19) RCE kritis pada agen pengkodean AI open-source populer opencode: server MCP jarak jauh yang dikendalikan penyerang dapat mengeksekusi kode arbitrer di mesin pengembang Windows/WSL selama proses autentikasi OAuth MCP otomatis, tanpa interaksi atau persetujuan tambahan dari pengguna. CVSS yang diusulkan 9.8 (Kritis, AV:N/AC:L/PR:N/UI:N). Kelas sink yang sama didokumentasikan di CVE-2025-6514 (9.6) dan dua CVE 2025 lainnya; kode rentan opencode ditulis pada Desember 2025 dan Anomaly tidak menerbitkan advisory atau meminta CVE.
Mengapa penting
Ini adalah rantai alat-agen tanpa kredensial: menghubungkan agen pengkodean ke server MCP jarak jauh apa pun (publik, typosquatted, atau kemudian dibajak) dapat memberikan eksekusi kode kepada penyerang di mesin pengembang — yang menyimpan kredensial cloud, SSH, git, dan penyedia model yang digunakan agen tersebut. Kesenjangan pengungkapan berarti sebagian besar perusahaan tidak akan tahu bahwa mereka terekspos.
Vektor serangan
Selama tantangan OAuth 401 dari server MCP jarak jauh, string authorization_endpoint yang dikendalikan penyerang mengalir langsung dari jaringan ke pemanggilan shell (paket peluncur browser open/xdg-open) tanpa validasi skema atau pemeriksaan asal (CWE-78 injeksi perintah OS). Server MCP jarak jauh yang berbahaya atau kemudian dikompromikan/dibajak dapat memicu eksekusi kode arbitrer di host pengembang.
Sistem yang terdampak
opencode (opencode-ai di npm) >= 1.0.137, <= 1.18.32, di Windows dan WSL
Mitigasi
Tingkatkan ke opencode 1.18.33 (dirilis 2026-09-28). Karena Anomaly merilis perbaikan sebagai refactor diam-diam tanpa advisory atau CVE, inventarisasi instalasi yang terpengaruh secara langsung — pemindai dependensi tidak akan menandainya.