何が起きたか
NVD REST API経由で検証済み（CVE-2026-110769 公開日 2026-10-14、CVSS 8.6 v3.1 / 8.3 v4.0；CVE-2026-110768 CVSS 4.8）。ローカルエージェントを駆動できる人を制限することを目的としたチャンネルゲートウェイコネクタは、空の許可リストでフェイルオープンし、なりすまし可能なユーザー名に依存するため、任意のリモートユーザーがエージェントを操縦してホストインフラストラクチャ上で動作させることができます。
なぜ重要か
これは直接的なエージェント制御の脆弱性です：チャットメッセージを送信できる攻撃者は、オペレーターのマシン上で個人用AIエージェントにツール（シェル、ファイル操作、ブラウザ）を実行させる能力を得ます—事実上、リモートエージェント駆動の実行であり、メッセージング面がエントリポイントとなるエージェントアプリケーションの脆弱性のクラスです。ユーザーはallowFrom/numeric-idリストを設定するか、ネットワークに面したチャンネルコネクタを無効にする必要があります。
攻撃経路
リモート、認証なし：攻撃者がオペレーターのTelegram/Slack/Discordボットにメッセージを送信します。ChannelIngress.handleはそのターンをバインドされたワークスペースエージェントに渡し、エージェントはオペレーターのマシン上で設定されたツールを実行します。デフォルトのallowFromリストは空であるため、#isAllowedチェックはすべての送信者を受け入れます（CWE-1188）。CVE-2026-110768はさらに、numeric idの代わりに可変のユーザー名で認証します（CWE-290）。
影響を受けるシステム
holaOS 2026.822.1まで
緩和策
holaOSをアップグレードし、allowFrom送信者リストを明示的に設定してください（Telegramの場合はユーザー名ではなく数値ID）。使用していないチャンネルコネクタは無効にしてください。公開されたボットはすべて攻撃対象として扱ってください。VulnCheckアドバイザリ 110769/110768。