何が起きたか
Pillar Securityは（2026-10-19）、人気のオープンソースAIコーディングエージェントopencodeにおける重大なRCEを公開しました。攻撃者が制御するリモートMCPサーバーが、自動MCP OAuth認証プロセス中にWindows/WSL開発者マシン上で任意のコードを実行でき、追加のユーザー操作や同意を必要としません。提案CVSS 9.8（Critical、AV:N/AC:L/PR:N/UI:N）。同じシンククラスはCVE-2025-6514（9.6）および他の2つの2025年CVEで文書化されていました。opencodeの脆弱なコードは2025年12月に書かれ、Anomalyは勧告を公開せずCVEも要求しませんでした。
なぜ重要か
これは資格情報不要のエージェントツールチェーンです。コーディングエージェントを任意のリモートMCPサーバー（公開、タイポスクワット、または後で乗っ取られたもの）に接続すると、攻撃者に開発者マシン上でのコード実行を提供します。そのマシンは、エージェントが使用するクラウド、SSH、git、モデルプロバイダーの資格情報を保持しています。開示のギャップにより、ほとんどの企業は自社が露出していることに気づかないでしょう。
攻撃経路
リモートMCPサーバーのOAuth 401チャレンジ中に、攻撃者が制御するauthorization_endpoint文字列が、スキーム検証やオリジンチェックなしでワイヤから直接シェル呼び出し（ブラウザ起動パッケージ open/xdg-open）に流れ込みます（CWE-78 OSコマンドインジェクション）。悪意のある、または後で侵害/乗っ取られたリモートMCPサーバーが、開発者のホスト上で任意のコード実行をトリガーできます。
影響を受けるシステム
opencode (opencode-ai on npm) >= 1.0.137、<= 1.18.32、WindowsおよびWSL上
緩和策
opencode 1.18.33（2026-09-28リリース）にアップグレードしてください。Anomalyは修正をサイレントリファクタリングとして出荷し、勧告やCVEを発行しなかったため、影響を受けるインストールを直接インベントリしてください。依存関係スキャナーはそれをフラグしません。