何が起きたか
VulnCheckは2026-10-13に、Roo Codeのコマンド承認バイパスCVE群（例：CVE-2026-110202、CVSS 8.8）を公開した。それぞれがgetCommandDecision()/parseCommandLine()の個別の欠陥である。権限ゲートはシェルコマンドラインの一部のみを分類するため、「echo 」のような承認済みプレフィックスが、リダイレクト、クォートマスキング、${...}置換、グロブ隣接コマンド置換、またはコマンド位置置換を介して追加された拒否コマンドを隠蔽する。影響を受けるパーサーは外側の一致を自動承認する一方、シェルは隠されたペイロードを実行する。NVD REST APIで検証済み（公開日2026-10-13、CVSS 8.8 v3.1、CWE-436）。
なぜ重要か
これは、確立されたbash権限バイパス研究の系統における新しいエージェント実行攻撃クラスである。シェルコマンドを実行できるツールを備えたAIコーディングエージェントは、信頼できないテキストを取り込むと、リモート制御のコマンド実行装置になる。AI/セキュリティチームにとって、エージェントが読み取るコンテンツを仕掛けられる攻撃者は、資格情報を静かに盗み、リポジトリをクローンし、ノートPCから横展開できる——KEVリスト掲載され広く悪用されたコーディングエージェントの欠陥を生み出したものと同じクラスのエージェント信頼障害に到達する。複数CVEのクラスターは、パーサーがシェルのメタキャラクターのエッジケースに対して系統的に脆弱であることを示している。
攻撃経路
間接プロンプトインジェクション：リポジトリファイル、フェッチされたページ、またはツール出力内の悪意のあるコンテンツが、エージェントにシェルコマンドの実行を指示する。攻撃者はコマンドを（裸の>&リダイレクトプレフィックス、クォートマスクされたセパレータ、${...}置換、グロブ隣接$()、またはコマンド位置$()）を成形し、許可リスト/権限パーサーがそれを自動承認する一方で、シェルは開発者のマシン上で拒否されたペイロードを実行する。
影響を受けるシステム
Roo Code（VS Code AIコーディングエージェント）3.54.0まで、関連ID：CVE-2026-110203/110204/110205/110206および関連するparseCommandLineバイパス
緩和策
Roo Codeを3.54.0以降に更新してください。この期間中に公式の修正リリースは発表されていません。パッチ適用まで、信頼できないリポジトリに対してエージェントを実行せず、シェルコマンドの自動承認を無効にし、ワークスペース/フェッチされたコンテンツを信頼できないものとして扱ってください。