何が起きたか
CVE-2026-119025 / GHSA-jgwm-4pmq-r4w4：open 7.2.0から11.0.0は、エスケープされていないURL（悪意のあるMCPサーバーが提供するOAuth authorization_endpoint値を含む）をWindowsおよびWSL上の`powershell -EncodedCommand`に渡します。URLに埋め込まれた$(...)サブ式はシェルとして評価されるため、悪意のあるリモートMCPサーバーのOAuthエンドポイントにより、クライアントが認証フローを実行した際に開発者のマシン上で任意のコード実行が可能になります。
なぜ重要か
これは具体的なエージェント実行攻撃クラスです：攻撃者はエージェントが接続するMCPサーバーを制御し、OAuthハンドシェイクだけで開発者の権限で任意のコードを実行できます。これはコーディングエージェンシーデプロイメントにおいて「MCPサーバーに接続する」ことをホストRCEに変換します。
攻撃経路
ユーザーが、OAuth authorization_endpointに$(...)コマンド置換を含むリモートMCPサーバーに接続する；クライアントはエスケープされていないURLからpowershell -EncodedCommandコマンドを構築し、実行します。
影響を受けるシステム
open / opencode 7.2.0から11.0.0より前のバージョン。
緩和策
open 11.0.0以降にアップグレードする；MCPサーバーの認証エンドポイントを検証/許可リスト化し、Windows/WSLホスト上で未検証のリモートMCPサーバーへの接続を避ける。